EE. UU. finaliza normas para bancos sobre cómo mantener criptoactivos sin cruzar la línea

La Reserva Federal, la Corporación Federal de Seguros de Depósitos y la Oficina del Control de la Moneda han establecido oficialmente nuevas instrucciones sobre cómo los bancos pueden gestionar servicios de custodia de criptoactivos sin infringir límites regulatorios.

Las agencias, actuando bajo la administración del presidente Donald Trump, emitieron un comunicado conjunto el lunes, explicando exactamente cómo los prestamistas tradicionales deben gestionar las tenencias de criptoactivos de sus clientes.

Según Según el análisis del comunicado realizado por Cryptopolitan, estas nuevas instrucciones reemplazan advertencias y restricciones anteriores que dificultaban la entrada de los bancos en el mercado de criptoactivos.

La actualización llega apenas meses después de que los reguladores retiraran la orientación previa sobre riesgos relacionados con criptoactivos en abril y revocaran la directiva de 2022 que obligaba a los bancos a notificar a los reguladores con antelación antes de realizar cualquier actividad relacionada con criptoactivos.

A partir de ahora, las operaciones con criptoactivos serán supervisadas como parte de la supervisión rutinaria, al igual que cualquier otro negocio bancario. Las agencias advirtieron que todo banco que se adentre en la custodia de criptoactivos debe comprender a qué se enfrenta y desarrollar sistemas capaces de gestionarlo.

Los reguladores exigen sistemas internos estrictos antes de iniciar la custodia

Los reguladores dejaron claro que la custodia de criptoactivos implica tener control sobre las claves criptográficas que dan acceso a dichos activos, y que dicho control debe cumplir con todas las leyes y regulaciones aplicables.

Antes incluso de lanzar servicios de custodia, se espera que los bancos evalúen cómo estas operaciones se integran en su perfil de riesgo general y estrategia. Deben conocer la tecnología, mantenerse actualizados sobre las prácticas del sector y prepararse para imprevistos.

«Una evaluación de riesgos efectiva debería considerar aspectos como los riesgos financieros centrales de la entidad bancaria dados su dirección estratégica y modelo de negocio», indicaron las agencias en su declaración conjunta.

Cada empleado, ya sea de la alta dirección o del área de TI, debe contar con la formación y el conocimiento operativo necesarios para gestionar adecuadamente los servicios de custodia de criptoactivos. La declaración añadió que todas las áreas del banco deben poder «establecer una capacidad operativa adecuada y controles apropiados para realizar la actividad de manera segura y sólida». Sin esta base, simplemente no se les permite ofrecer estos servicios.

Las directrices también requieren planes de contingencia. Esto significa tener un plan real cuando fallen los sistemas o si una custodia de criptoactivos El proceso falla. Esto no es opcional. Debe integrarse en la configuración del banco desde el primer día. Las agencias indicaron que todo el marco debe ser lo suficientemente flexible para adaptarse al panorama cambiante de las criptomonedas. Lo que funciona hoy podría no funcionar mañana.

Los bancos pueden utilizar ayuda externa, pero asumen plena responsabilidad

Se permite a los bancos trabajar con empresas de terceros para gestionar la custodia de criptoactivos, como mediante subcustodios o proveedores tecnológicos. Sin embargo, el comunicado enfatizó que los bancos seguirán asumiendo toda la responsabilidad. «Sujeto a los términos y condiciones del acuerdo con el cliente, una entidad bancaria es responsable de las actividades realizadas por el subcustodio», señalaron los reguladores.

Esa responsabilidad abarca todo, desde qué activos de criptomonedas soporta el banco hasta cómo funciona la tecnología del subcustodio. Incluso si el tercero realiza la mayor parte del trabajo, el banco debe realizar la debida diligencia con antelación.

Esto implica verificar cómo se generan, almacenan y eliminan las claves, y confirmar que el subcustodio utiliza salvaguardas sólidas. También se espera que los bancos evalúen qué sucedería con los activos de los clientes en caso de quiebra del subcustodio o problemas operativos.

Los reguladores también abordaron otro escenario común: cuando un banco gestiona la custodia internamente pero aún utiliza tecnología de terceros. Ya sea software, hardware o cualquier cosa intermedia, se espera que los bancos evalúen los riesgos. 

Esto incluye decidir si es más seguro construir sus propios sistemas o confiar en las herramientas de terceros. La declaración indicó: «La gestión efectiva de riesgos… generalmente incluirá sopesar los riesgos de adquirir software o hardware de terceros frente a mantener dicho software o hardware como servicio».

Las auditorías también forman parte de los requisitos. Las agencias indicaron que los bancos deben crear programas de auditoría específicamente para sus operaciones de custodia de criptoactivos. Esto incluye revisar los procesos de generación, almacenamiento y eliminación de claves, verificar los controles de transferencia y comprobar que los sistemas de TI cumplan con los estándares de seguridad. Estas auditorías también deben evaluar si el personal cuenta con las habilidades necesarias para gestionar los riesgos relacionados con las criptomonedas; de no ser así, se debe contratar ayuda externa.

«Cuando la experiencia en auditoría no existe dentro de la organización bancaria, la dirección debe involucrar recursos externos adecuados, con suficiente independencia, para evaluar las operaciones de custodia de activos digitales», señalaron las agencias.