Autorización MiCA y preparación tecnológica

La autorización MiCA es ya la condición básica para prestar servicios de criptoactivos en la Unión Europea. Desde que el reglamento es plenamente aplicable y su ventana transitoria se ha cerrado, una empresa que preste tales servicios a clientes de la UE debe estar autorizada como proveedor de servicios de criptoactivos—un CASP—, autorización que concede una autoridad nacional competente de un Estado miembro. Una autorización no es un documento que se obtiene y se archiva; es una descripción de cómo va a operar la empresa, y buena parte de esa descripción trata de tecnología.

Lo que resulta fácil pasar por alto es que una gran parte de una autorización MiCA es una exposición de sistemas y controles. Una autoridad competente que examina una solicitud quiere entender cómo custodia el solicitante los activos de los clientes, cómo verifica a los clientes, supervisa la actividad, lleva sus registros, protege sus sistemas y restablece su actividad tras una interrupción. Son cuestiones técnicas y operativas antes que jurídicas, y la calidad de las respuestas depende de cómo se ha construido la plataforma, no de cómo se han redactado las políticas.

Este artículo aborda la autorización MiCA desde la óptica de la preparación tecnológica: qué espera una autoridad competente de los sistemas de un solicitante, por qué esas expectativas se satisfacen mejor mediante el diseño que mediante el añadido posterior, y cómo se conectan con las obligaciones de resiliencia operativa y de prevención del blanqueo que se aplican junto a MiCA. Se mantiene en el plano de la arquitectura y la evaluación. Describe lo que un CASP autorizado debe poder demostrar, no cómo construir un componente concreto.

Qué significa hoy la autorización MiCA

Bajo MiCA, prestar servicios de criptoactivos en la Unión Europea—operar una plataforma de negociación, intercambiar criptoactivos, ejecutar o transmitir órdenes o custodiar activos, entre otros—exige autorización como CASP. Esa autorización la concede la autoridad nacional competente del Estado miembro en el que la empresa está establecida, tras examinar la gobernanza, los controles y los sistemas del solicitante. La Autoridad Europea de Valores y Mercados no autoriza a los proveedores individualmente; mantiene los registros a escala de la Unión que dejan constancia de quién ha sido autorizado, a partir de la información que facilitan las autoridades competentes. Una empresa presenta, por tanto, su solicitud ante un regulador nacional, pero opera dentro de un marco europeo común.

El calendario importa. La transición de MiCA ha terminado. Los nuevos proyectos de criptoactivos en la UE deben diseñarse desde el principio para un modelo operativo de CASP autorizado. Ya no existe un periodo de gracia durante el cual un proveedor pueda operar mientras se prepara su autorización; el modelo autorizado es el punto de partida, no un hito posterior. Para una plataforma nueva, esto significa que los sistemas, los controles y los registros en los que se apoya la autorización deben formar parte del diseño inicial. Para un proveedor existente, significa que las mismas capacidades deben estar presentes de forma demostrable en lugar de planificadas.

También conviene ser precisos sobre lo que una autorización no es. No es una certificación de un programa concreto, y ninguna plataforma puede calificarse de certificada por MiCA. No garantiza que una empresa pueda pasaportar sus servicios por toda la Unión sin cumplir las condiciones asociadas a ese proceso. Y elegir el Estado miembro en el que solicitar la autorización es una cuestión de fondo y de modelo operativo, no la búsqueda del ordenamiento más permisivo. Lo que una autoridad competente aprecia en última instancia es si la empresa—sus personas, sus procesos y su tecnología en conjunto—puede prestar los servicios previstos de manera controlada y supervisable.

Por qué la autorización es una cuestión tecnológica

Una solicitud de autorización de CASP es, en gran medida, una descripción estructurada de cómo funcionan los sistemas de la empresa. El solicitante ha de explicar cómo se mantienen y segregan los activos de los clientes, cómo se identifica y verifica a los clientes, cómo se tratan las órdenes, cómo se llevan y conservan los registros, cómo se protege la información y cómo continúa el servicio durante una interrupción. Cada una de estas cuestiones la responde la arquitectura de la plataforma. Una descripción que no respalden sistemas capaces de hacer lo que afirma resulta difícil de sostener, porque la supervisión pone a prueba cada vez más la capacidad y no la afirmación.

Por eso la preparación conviene incorporarla desde el principio en lugar de añadirla después. Una plataforma diseñada desde el inicio para segregar los activos de los clientes, producir registros conciliables, verificar a los clientes y registrar la actividad puede describir esas capacidades con exactitud y acreditarlas cuando se le pida. Una plataforma que trató esto como funciones que añadir más tarde a menudo puede ajustarse, pero normalmente con un coste mayor y con pruebas más débiles. La distinción se agudiza una vez que la empresa está autorizada, porque de un CASP autorizado se espera que opere de forma resiliente y controlada desde su primer día de actividad, sin un margen aparte para que sus sistemas maduren.

Las dimensiones de la preparación tecnológica

La preparación tecnológica para la autorización MiCA puede organizarse en un pequeño número de dimensiones. Ninguna es un producto que se compre de forma aislada; cada una es una capacidad que la plataforma debe poseer y mantener. Presentarlas así ayuda a una empresa a evaluar si una plataforma—desarrollada internamente, con licencia o entregada como sistema a medida—puede sostener realmente los controles que exigen la autorización y la supervisión continua.

Estas dimensiones son interdependientes. Los registros de custodia solo son fiables si la conciliación y el registro son sólidos; el filtrado solo es eficaz si el sistema de alta lo impone; la resiliencia y la seguridad sostienen a todas las demás. Una plataforma fuerte en una dimensión y débil en otra no está parcialmente lista; una autoridad aprecia el conjunto. Tratar la preparación como una propiedad coherente de la plataforma, y no como una lista de herramientas separadas, es lo que hace que una autorización sea creíble y sostenible.

Custodia, segregación y registros de los activos de clientes

Es en la custodia donde las expectativas de MiCA resultan más concretas para muchos CASP. Un proveedor que mantiene criptoactivos de clientes debe conservarlos separados de los propios y llevar registros que indiquen en todo momento qué pertenece a cada cliente. No es solo cuestión de usar wallets distintas; es una disciplina de registro. La plataforma debe vincular los saldos que ve el cliente, su ledger interno y las tenencias on-chain o custodiadas que los respaldan, y poder demostrar que cuadran. Un proveedor que segrega activos pero no puede probar de forma continua esa segregación tiene un problema de registros, no un mero problema operativo.

La misma disciplina conecta la custodia con el resto de la plataforma. Ya opere una empresa su propia plataforma de exchange y custodia de criptomonedas o integre una custodia externa, la exigencia de llevar registros de activos de clientes completos, identificables y conciliables se mantiene constante. La conciliación de los registros de custodia—el cotejo del registro interno con lo que realmente se mantiene—convierte la segregación de una afirmación en un control demostrable, y es una de las capacidades que una autoridad competente espera de un solicitante como diseñada y no como improvisada.

Dónde se encuentran los requisitos de MiCA, DORA y AML

La autorización MiCA no se sostiene por sí sola. Un CASP autorizado es una entidad financiera a efectos del marco de resiliencia operativa digital de la Unión Europea, DORA, lo que significa que los sistemas que prestan los servicios de criptoactivos quedan sujetos a expectativas supervisadas sobre la gestión del riesgo de las TIC, el tratamiento de incidentes, las pruebas de resiliencia y la vigilancia de los proveedores tecnológicos críticos. Se aplican de forma proporcionada—un proveedor más pequeño soporta expectativas más ligeras que una gran plataforma multiactivo—pero ningún CASP autorizado queda fuera de ellas. Diseñar para la autorización supone, por tanto, diseñar al mismo tiempo para la resiliencia operativa, porque ambas se aprecian sobre los mismos sistemas.

Las obligaciones de prevención del blanqueo corren junto a las dos. De un CASP se espera que identifique y verifique a sus clientes, supervise la actividad y filtre las operaciones y las wallets de criptoactivos; por eso la verificación de identidad y el filtrado se tratan aquí como una dimensión de la preparación y no como un añadido tardío. Las empresas que construyen estos controles pueden abordarlos como sistemas conectados—verificación de identidad y filtrado AML que alimentan el mismo flujo de alta y supervisión—en lugar de como herramientas aisladas. En los tres ámbitos, el límite de lo que un socio tecnológico puede hacer debe enunciarse con claridad. No emitimos dictámenes jurídicos ni garantizamos autorizaciones. Implementamos los requisitos regulatorios y de auditoría en la tecnología, la infraestructura y las operaciones. La interpretación del marco y la decisión de autorización siguen siendo, respectivamente, asunto de asesores cualificados y de la autoridad competente.

Cómo es una plataforma lista para la autorización

Una plataforma lista para sostener una autorización MiCA comparte un conjunto reconocible de características. Segrega los activos de los clientes y puede identificar y conciliar las tenencias de cada cliente cuando se le solicita. Integra la verificación de identidad y el filtrado en el alta y en la supervisión continua. Lleva registros de actividad completos y conservables y puede reproducirlos como prueba. Está construida para operar de forma resiliente y recuperarse de las interrupciones, con la seguridad y el control de accesos previstos desde el diseño en lugar de añadidos por los bordes. Y sostiene las obligaciones frente al cliente—información, gestión de conflictos de interés, tratamiento de reclamaciones—como sistemas que funcionan y no como declaraciones de intenciones.

Nada de esto se logra adquiriendo un único componente. La preparación para la autorización es una propiedad de cómo se organizan y mantienen la custodia, los registros, el alta, la resiliencia y la seguridad a medida que la plataforma evoluciona. Las empresas que estructuran este trabajo pueden consultar nuestra visión sobre la preparación regulatoria en la UE; y cuando la cuestión es cómo secuenciar y diseñar la arquitectura subyacente, nuestra asesoría de arquitectura fintech expone cómo encajan estas capacidades.

Resumen y próximos pasos

Una autorización MiCA es, en gran medida, una exposición de tecnología. Una autoridad competente la concede, la ESMA la registra y la empresa la mantiene; pero aquello de lo que dependen los tres es una plataforma capaz de custodiar los activos de los clientes, verificar a los clientes, llevar registros, protegerse y seguir funcionando. Como la transición ha terminado, estas capacidades han de estar presentes desde el principio en lugar de prometerse para más adelante; y como DORA y las obligaciones de prevención del blanqueo se aplican a los mismos sistemas, conviene tratar la preparación como un único objetivo de diseño coherente y no como una serie de tareas de cumplimiento separadas.

Las empresas que planifican o revisan una plataforma pueden comenzar por la arquitectura y las pruebas que puede producir, y no por herramientas sueltas. Nuestra visión de la preparación regulatoria expone cómo la tecnología, la infraestructura y las operaciones se combinan para sostener la autorización y la supervisión que le sigue.