Paulo de Matos Junior, empresario del sector financiero especializado en cambio de divisas e intermediación de criptoactivos, sigue de cerca un aspecto poco discutido de la nueva regulación: la exigencia de que los proveedores de servicios de activos virtuales (PSAV) mantengan una estructura de gestión de riesgos, con un director responsable del área. La gestión de riesgos consiste en un conjunto de procesos que identifican qué puede salir mal en una operación, evalúan la probabilidad y la magnitud de las posibles pérdidas y establecen límites y medidas de respuesta. En una empresa proveedora de servicios de criptoactivos, los riesgos tienen características propias y difieren, en parte, de los que enfrenta un banco tradicional.
Los tipos de riesgo de un proveedor de servicios de criptoactivos
El riesgo operativo comprende fallos en los procesos, errores humanos y fraudes internos. El riesgo tecnológico, por su parte, incluye ciberataques, fallos de los sistemas y pérdida de claves de acceso, y tiene una importancia mayor en el sector porque los activos existen únicamente en formato digital. También existe el riesgo de liquidez, cuando la empresa no puede atender retiradas simultáneas de fondos, y el riesgo de contraparte, relacionado con los socios y proveedores con los que opera.
Como explica Paulo de Matos Junior, la diferencia respecto a un banco radica en la magnitud del riesgo tecnológico y en la rapidez con la que puede materializarse. Una brecha de seguridad en un sistema de custodia puede provocar la pérdida irreversible de activos en cuestión de minutos, sin posibilidad de revertir las transacciones, lo que exige controles preventivos más estrictos que los utilizados en operaciones reversibles.
¿Cómo funcionan los límites y los controles internos?
Los límites de exposición determinan cuánto está dispuesta la empresa a perder o asumir en cada área. Pueden establecerse límites máximos para los valores mantenidos en billeteras conectadas a Internet, para las operaciones por cliente o para la concentración en un único socio comercial. Cuando se aproxima uno de estos límites, el sistema alerta al área responsable, que decide si reduce la exposición o refuerza las garantías. La decisión queda registrada para su posterior revisión por parte de los auditores y del regulador.
Los controles internos funcionan mediante distintas capas de protección. Las autorizaciones en dos etapas para movimientos de grandes cantidades, la separación de funciones entre quienes solicitan y quienes autorizan una transferencia y los registros auditables de cada decisión reducen la probabilidad de que un único error, o una sola persona, comprometa el patrimonio de los clientes, según Paulo de Matos Junior.
La custodia de criptoactivos y el riesgo de concentración
Mantener todos los activos en un único entorno crea un punto único de fallo. Por ello, muchos proveedores dividen la custodia entre billeteras calientes, conectadas a Internet y utilizadas para las retiradas cotidianas, y billeteras frías, desconectadas y destinadas a almacenar la mayor parte de los fondos. Esta división reduce las posibles pérdidas en caso de ataque, ya que solo una parte de los activos permanece expuesta.
La definición de la proporción entre ambas, señala Paulo de Matos Junior, es una decisión de gestión de riesgos y no únicamente técnica, ya que busca equilibrar la seguridad con la capacidad de atender las solicitudes de retirada con rapidez. Una proporción demasiado baja en billeteras calientes genera demoras; una proporción demasiado alta aumenta la exposición a ciberataques.
¿Qué puede observar el cliente sobre la gestión de riesgos de la empresa?
Algunas informaciones son públicas o pueden solicitarse directamente. La existencia de políticas de seguridad publicadas, informes de auditoría independiente y canales para comunicar incidentes indica que la empresa aborda el tema con seriedad. La manera en que explica sus procedimientos de custodia también revela mucho sobre la madurez de su estructura.
Asimismo, conviene observar cómo reacciona el proveedor ante los problemas. Una comunicación rápida y clara sobre los fallos, acompañada de explicaciones sobre lo ocurrido y las medidas adoptadas, suele reflejar procesos internos bien organizados. Por el contrario, el silencio o las respuestas evasivas sugieren que la gestión de riesgos existe más sobre el papel que en la actividad cotidiana de la empresa, lo que merece especial atención por parte de quienes mantienen sus activos bajo su custodia.
