cumplimiento19 de octubre de 2026 · 8 min de lectura
Qué piden los reguladores a un exchange cripto: el expediente técnico, explicado
Las secciones técnicas de una solicitud VASP o CASP, qué evidencia requiere cada una y qué partes debe entregarle su proveedor de software ya preparadas.
BitPolaris Engineering
Las dos mitades de una solicitud
La mitad legal le corresponde a usted y a su asesor legal: entidad, capital, gobierno corporativo, idoneidad de las personas clave, plan de negocio. La mitad técnica trata del sistema: cómo se separan los activos de los clientes, cómo se verifican las identidades, cómo se gestionan los incidentes, dónde residen los datos. La mayoría de los retrasos se deben a que la mitad técnica se redacta desde cero.
Las secciones técnicas
| Sección | Qué quieren ver | Evidencia |
|---|---|---|
| Descripción del sistema | Arquitectura, entornos, terceros, alojamiento | Diagramas, lista de proveedores, mapa de flujos de datos |
| Custodia y segregación | Activos de clientes separados de los de la empresa; gestión de claves | Niveles de billeteras, política, método de conciliación, exportaciones de PoR |
| Riesgo TIC (DORA) | Controles, clases de incidentes, copias de seguridad, registro de terceros | Mapeo de controles, registros de simulacros de restauración |
| AML / KYC | Niveles, control, conservación de registros | Contratos con proveedores, registros de decisiones |
| Travel rule | Datos del ordenante / beneficiario en las transferencias | Campos de datos, formato de exportación, umbrales |
| Integridad del mercado | Divulgación de la creación de mercado, prevención de autonegociación | Informes de reparto de volumen |
| Pruebas de seguridad | Pruebas independientes y corrección | Resumen del pentest, política de divulgación |
Qué exigir a un proveedor
- Un expediente técnico por escrito, adaptado a su régimen, no una presentación comercial.
- Pruebas de que las reservas se concilian contra la cadena, no solo contra la propia base de datos del proveedor.
- Un registro de auditoría exportable que cubra cada movimiento de dinero y cada cambio de configuración.
- Autoalojamiento (self-hosted) si su régimen exige el control de las claves; pregunte con precisión dónde están las claves.
- Dos proveedores KYC o, como mínimo, una alternativa documentada.
BitPolaris entrega el expediente técnico con cada instalación; su asesor legal tramita la solicitud.