Conformidade AML para empresas menores de ativos digitais – estou perdendo algo?

Tenho analisado novamente a orientação atualizada do GAFI sobre VAs e VASPs, especificamente como ela se aplica a entidades menores no espaço de ativos digitais. Não somos uma exchange enorme, apenas uma empresa boutique que ajuda com o onboarding institucional e OTC para um nicho específico. O volume de documentação e os requisitos de monitoramento contínuo parecem quase desproporcionais para nossa escala e volume de transações. Entendo a 'abordagem baseada em risco', mas, na prática, para empresas menores, parece que somos esperados a implementar soluções construídas para operações muito maiores sem o orçamento ou pessoal correspondente. Existe alguma interpretação comum ou estratégia para VASPs menores permanecerem em conformidade sem serem completamente sobrecarregadas, ou estou superestimando a parte 'baseada em risco' e preciso apenas aceitar e contratar um oficial de conformidade dedicado em tempo integral, mesmo com uma equipe enxuta?