Un proyecto cripto regulado puede tener preparada la entidad, el capital y la documentación de solicitud y seguir sin poder avanzar en plazo porque falta una persona obligatoria. El MLRO es un buen ejemplo de por qué el staffing regulatorio forma parte de la arquitectura del negocio y no es una línea administrativa que se añade después de escoger la estrategia de licencia.
Esa conclusión no debe convertirse en una regla universal para cualquier jurisdicción. Los requisitos exactos de función, experiencia, residencia e independencia cambian según el régimen. El marco actual de VARA en Dubái ofrece un ejemplo concreto del mecanismo.
Tres ideas clave
- Las personas pueden estar en el critical path. Un MLRO, Compliance Officer o Responsible Individual cualificado tiene que existir, aceptar el puesto y satisfacer al regulador; una plantilla de políticas no sustituye esa dependencia.
- El diseño de funciones importa tanto como el headcount. VARA permite combinar determinadas funciones non-client-facing cuando se controlan los conflictos y se mantiene el fit-and-proper, por lo que la pregunta correcta es responsabilidad, capacidad e independencia, no un número mínimo universal de empleados.
- El staffing AML no es tax reporting ni bankability. El MLRO es responsable de una función AML/CFT; eso no determina las obligaciones CARF/DAC8, la posición fiscal de la empresa ni que un banco vaya a aceptarla.
Cuál era realmente el problema del proyecto en 2022
A finales de 2022, los fundadores ya estaban descubriendo que una licencia cripto no era simplemente un ejercicio de formularios. Una solicitud creíble dependía cada vez más de las personas que iban a operar y controlar de verdad el negocio regulado.
La perspectiva histórica debe ser honesta. VARA se había creado en Dubái en 2022, pero la arquitectura completa de rulebooks que hoy hace explícitos los requisitos de staffing todavía no estaba disponible el 8 de noviembre de 2022. Las reglas actuales pertenecen, por tanto, al análisis de qué cambió después, no a una reconstrucción ficticia de lo que podía leer entonces un solicitante.
Lo que ya era visible era el mecanismo operativo: cuando un regulador exige personas nominadas con responsabilidades definidas, su contratación y aprobación se convierten en dependencias del calendario de licensing.
El MLRO es una función, no una etiqueta
Bajo el actual Compliance and Risk Management Rulebook de VARA, un VASP debe nombrar un MLRO con al menos dos años de experiencia en asuntos AML/CFT y que además sea fit and proper. Sus responsabilidades incluyen políticas AML/CFT, risk assessments, monitorización y reporting de suspicious transactions, formación de board y staff, acciones correctivas y reporting trimestral al board.
Eso es materialmente distinto de escribir «MLRO» en un organigrama.
La persona necesita conocimiento, autoridad y acceso a información suficientes para desempeñar la función. Si transaction monitoring, customer due diligence o sanctions screening generan un problema, el MLRO debe poder investigarlo, escalarlo y documentar la respuesta.
La pregunta operativa no es simplemente:
¿Hemos nombrado un MLRO?
Es:
¿Puede esta persona ejecutar la función de control que crea el modelo de negocio?
El Compliance Officer es otra dependencia
VARA exige por separado un Compliance Officer. Bajo el rulebook actual, debe acreditar al menos cinco años de experiencia relevante en compliance, ser fit and proper, ser residente en UAE o tener pasaporte de UAE, trabajar full-time para el VASP y reportar directamente al board.
La distinción importa porque, de otro modo, el fundador puede reducir todo «compliance» a un único cargo genérico.
El Compliance Officer es responsable del compliance management system más amplio, formación regulatoria, riesgos emergentes de cumplimiento, reporting al board y corrective action. El MLRO tiene un mandato específico AML/CFT.
Las funciones se solapan, pero no son conceptualmente idénticas.
Una persona puede ocupar a veces más de una función
Aquí es donde las tablas simplistas de staffing se vuelven peligrosas.
VARA permite expresamente que el Compliance Officer ocupe más de un puesto non-client-facing, incluido MLRO o head of risk, siempre que no se creen deberes incompatibles y la persona siga siendo fit and proper. La regla equivalente aparece también desde el lado del MLRO.
Por tanto, un negocio cripto regulado no debería inferir que cada función nominada exige automáticamente un empleado diferente.
Pero el atajo contrario tampoco es seguro: poder combinar funciones no significa poder ignorar workload, conflictos o competencia.
Un VASP pequeño puede diseñar una estructura de control muy lean. Un exchange, custodio o negocio institucional más complejo puede hacer poco realista la misma combinación incluso cuando jurídicamente sea posible.
Los Responsible Individuals añaden otra capa de personas
El Company Rulebook de VARA exige dos Responsible Individuals con suficiente seniority. Deben ser empleados full-time, fit and proper, residentes en UAE o titulares de pasaporte de UAE y aprobados por VARA durante el licensing.
De nuevo, no es una plantilla universal para toda jurisdicción cripto. Sí demuestra el principio: el regulador autoriza una organización operativa, no solamente una entidad incorporada.
El fundador que diseña primero la estructura y pregunta al final quién ocupará las funciones reguladas ha invertido la dependencia.
Por qué el recruitment retrasa el proyecto antes del filing
Contratar un puesto regulado contiene más pasos que una contratación ordinaria.
El proyecto puede necesitar comprobar experiencia, conflictos, disponibilidad, residencia, relación contractual y capacidad para superar el escrutinio regulatorio. El candidato puede tener que aportar evidencia. El regulador puede formular preguntas o rechazar la solución propuesta. Notice periods y relocation pueden añadir más tiempo.
Así el staffing se convierte en un problema de critical path:
modelo de negocio → funciones necesarias → perfil del candidato → evidencia → nombramiento → aprobación regulatoria → operational readiness.
Si una fase anterior sigue abierta, las posteriores no se aceleran porque la entidad jurídica ya exista.
La mejor objeción: un consultor puede resolverlo
En ocasiones, el soporte externo es completamente adecuado.
VARA permite delegar determinadas actividades de compliance y AML/CFT en profesionales apropiados, sujeto a los requisitos de outsourcing aplicables. Pero el rulebook mantiene la responsabilidad: el Compliance Officer o el MLRO siguen siendo responsables de la función correspondiente.
Esa es la diferencia entre externalizar trabajo y externalizar responsabilidad.
Un consultor puede aportar expertise, sistemas, testing o capacidad adicional. El negocio regulado sigue necesitando un modelo de governance que diga quién es dueño de la decisión y quién responde cuando falla un control.
La bankability es otra prueba sobre las personas
Un banco que analiza un negocio cripto puede interesarse por las mismas personas por una razón diferente.
Puede querer saber quién controla la empresa, quién asume las decisiones AML, quién puede explicar transaction monitoring y quién responde de los flujos esperados. Un MLRO o función de compliance sólidos pueden, por tanto, reforzar la credibilidad del expediente bancario.
No crean un derecho a una cuenta bancaria.
El banco realiza su propio due diligence y risk assessment. La aprobación de una persona por el regulador es evidencia útil, no una transferencia de la decisión bancaria.
Fiscalidad y reporting están en otro mapa
El MLRO no es automáticamente el owner del tax reporting.
AML/CFT pregunta si clientes, transacciones y contrapartes generan financial-crime risk. CARF y DAC8 preguntan si determinada información sobre crypto-assets debe recopilarse, reportarse e intercambiarse para transparencia fiscal. Corporate Tax pregunta quién tributa y sobre qué renta.
Los datos pueden solaparse. Las obligaciones jurídicas no se convierten en una sola.
Una empresa regulada necesita por eso un mapa explícito de ownership para AML, regulatory reporting, contabilidad, fiscalidad y tax-information reporting, en vez de asumir que «compliance» lo cubre todo.
Qué cambió desde 2022
Los rulebooks actuales de VARA hacen la dependencia de personas mucho más visible que cuando el mercado todavía se concentraba en categorías de licencia.
Hoy un fundador puede identificar requisitos concretos para MLRO, Compliance Officer y Responsible Individuals antes de construir el calendario de la solicitud. Eso no elimina el riesgo de recruitment. Permite planificarlo en lugar de descubrirlo tarde.
Para proyectos en la UE hace falta la misma disciplina, pero el análisis jurídico debe realizarse sobre MiCA junto con el marco AML aplicable y su implementación nacional. MiCA no debe resumirse como una regla universal que obliga a todo CASP a tener un MLRO local bajo una fórmula idéntica.
La consecuencia práctica
Antes de prometer un plazo de licensing, un proyecto cripto debería contestar:
- ¿Qué funciones regulatorias y de control nominadas exige esta actividad concreta?
- ¿Qué condiciones de experiencia, fit-and-proper, residencia, empleo o independencia aplican?
- ¿Qué funciones pueden combinarse jurídica y prácticamente?
- ¿Qué trabajo puede externalizarse sin externalizar la responsabilidad?
- ¿Qué evidencia necesitará el regulador de cada persona propuesta?
- ¿Qué ocurre con el lanzamiento si un nombramiento crítico tarda tres meses más?
Eso no es un apéndice de recursos humanos. Forma parte del análisis de viabilidad.
Fuentes
- VARA — Compliance and Risk Management Rulebook
- VARA — Duties of the Compliance Officer
- VARA — Appointment and Duties of Money Laundering Reporting Officer
- VARA — Responsible Individuals
- EUR-Lex — Reglamento (UE) 2023/1114 sobre mercados de criptoactivos
Aviso
Este artículo ofrece información general de regulación y planificación empresarial. No constituye asesoramiento jurídico, regulatorio, AML, fiscal, bancario ni laboral. Los requisitos de staffing, fit-and-proper, residencia, outsourcing y governance dependen de la actividad, regulador y jurisdicción concretos y deben verificarse frente a las reglas vigentes antes de un nombramiento o filing.
