VASPs de la UE después de MiCA: quién obtuvo la licencia y quién asume el riesgo
El período transitorio de MiCA cerró el 1 de julio de 2026, y las cifras son contundentes. De los 1.343 proveedores de servicios de criptoactivos que operaban en el Espacio Económico Europeo, solo 281 obtuvieron una licencia CASP completa de MiCA antes de la fecha límite. Los otros 1.062 ahora operan fuera de la ley, y un nuevo análisis de la firma de inteligencia blockchain TRM Labs muestra que son materialmente más riesgosos que las empresas que lograron superarlo. Para firmas contables, auditores y directores financieros cuyos clientes son proveedores de servicios de criptoactivos o dependen de ellos, esto no es una historia regulatoria de fondo. Es un evento de riesgo de contraparte.
Qué significó realmente el plazo de adaptación
Antes de diciembre de 2024, cada estado miembro de la UE gestionaba su propio régimen de registro o licencia de criptoactivos. Los estándares variaban enormemente. Un registro obtenido en la jurisdicción más permisiva tenía la misma legitimidad nominal que una licencia completa de uno de los reguladores nacionales más estrictos, y las empresas elegían su domicilio en consecuencia.
MiCA reemplazó ese mosaico con un estándar de autorización único bajo el Reglamento de Mercados de Criptoactivos. Las empresas que ya operaban bajo la legislación nacional antes del 30 de diciembre de 2024 recibieron un período transitorio según el Artículo 143(3) para convertir su registro nacional existente en una licencia CASP completa. Ese plazo duró hasta el 1 de julio de 2026. A partir de esa fecha, una empresa sin autorización MiCA no puede proporcionar legalmente servicios de criptoactivos en ningún lugar de la UE.
La magnitud de la no conversión
La tasa de conversión fue baja. TRM identificó 1.343 empresas que ofrecían servicios cripto observables en el EEE antes de la fecha límite. De ellas, 281 obtuvieron una licencia CASP de MiCAR. Eso es aproximadamente una de cada cinco. Las 1.062 restantes ahora enfrentan tres opciones: salir del mercado de manera ordenada, reestructurarse en una entidad autorizada o transferir sus relaciones con clientes a una empresa que tenga licencia. Ninguna de estas opciones es rápida ni sin fricciones, y todas crean exposiciones de cumplimiento para cada parte involucrada.
Qué jurisdicciones convirtieron y cuáles no
Los datos de autorización revelan una división marcada entre las jurisdicciones que construyeron capacidad de licenciamiento temprano y las que dejaron que se acumularan registros grandes bajo regímenes nacionales más ligeros.
Jurisdicciones con alta conversión
El BaFin de Alemania autorizó 55 de las 57 empresas con licencia que operan en Alemania, una tasa de conversión que refleja el requisito de larga data de BaFin de licencias sustantivas de custodia de criptoactivos bajo la Ley Bancaria Alemana antes de la llegada de MiCA. Luxemburgo, Chipre, Malta e Irlanda también lograron altas tasas de conversión en relación con sus registros pre-MiCA. Malta y Chipre autorizaron cada uno más empresas (20 y 19 respectivamente) que Italia, que autorizó solo 9 de las 145 empresas que operaban en su registro. En conjunto, Malta, Chipre, Irlanda y Luxemburgo tienen 63 de las 272 autorizaciones de origen identificadas en el bloque, derivadas de una base de solo 101 empresas operativas.
Jurisdicciones con baja conversión
Lituania y Polonia presentan los casos más graves de la dinámica opuesta. TRM observó 383 empresas ofreciendo servicios cripto bajo el registro lituano y más de 1.800 entradas en el registro de Polonia, aunque la mayoría de los registrantes polacos nunca operaron servicios cripto observables. Lituania autorizó ocho empresas de ese registro de más de 400. Polonia no autorizó ninguna. Grecia y Portugal tampoco emitieron autorizaciones de origen propias. Estas cifras ilustran precisamente el problema de arbitraje que MiCA fue diseñado para eliminar: los regímenes nacionales de baja barrera atrajeron a un gran número de registrantes, y el estándar más riguroso de MiCA ahora ha filtrado a la mayoría.
Pasaporte y concentración supervisora
El pasaporte permite que una empresa autorizada en un estado miembro opere en todo el bloque. Eso es por diseño, pero los datos muestran un efecto secundario: la responsabilidad supervisora se está concentrando más rápido que la presencia en el mercado. Un puñado de reguladores, particularmente BaFin, el Banco Central de Irlanda, la Autoridad de Servicios Financieros de Malta y la Commission de Surveillance du Secteur Financier en Luxemburgo, se están convirtiendo en los supervisores principales de empresas que sirven a clientes en países donde no se emitieron autorizaciones de origen. Esta es la condición detrás de las advertencias de la Autoridad Antiblanqueo de la UE (AMLA) sobre estándares AML/CFT desiguales y arbitraje regulatorio dentro del mercado único.
La brecha de riesgo entre empresas autorizadas y no autorizadas
El estado de autorización y el perfil de riesgo no son independientes. Las calificaciones de riesgo de TRM, aplicadas a empresas activas durante los últimos doce meses hasta el 6 de julio de 2026, muestran una brecha clara y significativa entre los dos grupos.
Calificaciones de riesgo Alto y Severo
El doce por ciento de las empresas no autorizadas tienen una calificación de riesgo Alto o Severo según TRM. Entre las empresas autorizadas, esa cifra es del 2%. En términos absolutos, 30 de 244 empresas no autorizadas calificadas caen en la categoría Alto o Severo, frente a solo 2 de 90 empresas autorizadas calificadas. Críticamente, cada calificación Severa en todo el conjunto de datos pertenece a una empresa que no obtuvo autorización. Otras 20 empresas no autorizadas tienen una calificación Media, lo que amplía aún más la brecha cuando se considera la distribución completa.
Exposición ilícita directa
El dinero ilícito llega a ambos grupos a tasas agregadas similares. Las empresas no autorizadas enviaron el 0,09% de su volumen directamente a contrapartes ilícitas o de alto riesgo; las empresas autorizadas, el 0,07%. A ese nivel, la diferencia parece modesta. Pero el agregado oculta una cola que importa.
La mayoría de las empresas en ambos grupos tienen una exposición ilícita directa insignificante. Un pequeño número de empresas no autorizadas es diferente: varias envían entre el 1% y el 12% de su volumen total directamente a direcciones ilícitas. Ninguna empresa autorizada supera el umbral del 1%. Esa cola es lo que crea el riesgo agudo de contraparte para cualquier empresa que absorba clientes no autorizados.
Exposición a sanciones
La divergencia más significativa entre los dos grupos es la exposición a sanciones. Las empresas no autorizadas enviaron aproximadamente tres veces más volumen directamente a contrapartes sancionadas que las empresas autorizadas. Las mayores exposiciones en ambos grupos se concentran en exchanges de alto riesgo y servicios de juego, pero la brecha de sanciones es el número que atraerá la atención de los oficiales de cumplimiento y reguladores primero.
Qué dice AMLA que sucederá después
AMLA emitió una nota de asesoramiento sobre el fin del período transitorio de MiCAR identificando tres consecuencias estructurales: las empresas no autorizadas salen del mercado, grandes volúmenes de relaciones con clientes se mueven o terminan, y la actividad cripto se concentra entre menos CASP autorizados. AMLA caracteriza estos efectos como de impacto material en el funcionamiento del mercado cripto de la UE.
Riesgos que AMLA ha señalado para las empresas autorizadas
A medida que las empresas no autorizadas cierran en plazos comprimidos, sus controles AML se tensan. Los CASP autorizados que absorben a sus clientes enfrentan cambios repentinos en sus propios perfiles de riesgo y presión inmediata en los sistemas de monitoreo de transacciones calibrados para una base de clientes diferente y más reducida. Los supervisores, mientras tanto, pierden visibilidad sobre las transferencias entre los dos grupos precisamente cuando esa visibilidad es más importante.
AMLA ha pedido a los supervisores nacionales que prioricen la supervisión de los planes de salida y las transferencias de clientes, y que coordinen a través de fronteras a medida que los clientes migran. Los datos de TRM dan a esa solicitud una base cuantitativa: las 30 empresas no autorizadas con calificación Alto o Severo son identificables ahora, antes de que ocurran las transferencias, y representan la concentración de riesgo más aguda que los CASP autorizados y sus supervisores necesitan gestionar.
Implicaciones contables y de cumplimiento para empresas y directores financieros
La división de MiCA crea trabajo concreto para firmas contables, auditores y directores financieros con exposición cripto en la UE. Tres áreas destacan.
Debida diligencia de contraparte y onboarding
Cualquier CASP autorizado que se prepare para absorber relaciones con clientes de una empresa no autorizada necesita reevaluar su marco de riesgo de contraparte antes de las transferencias, no después. Los datos de riesgo muestran que la población de clientes que migran no es homogénea. Un pequeño subconjunto lleva exposición ilícita y a sanciones desproporcionada. Los procesos KYC estándar diseñados para onboarding minorista pueden no estar calibrados para detectar ese tipo de riesgo de cola concentrada lo suficientemente rápido. Las firmas contables que asesoran a CASP en esta transición deberían revisar los desencadenantes de debida diligencia mejorada y los umbrales de monitoreo de transacciones de sus clientes ahora. Nuestro análisis detallado sobre cómo construir un marco AML de onboarding para VASP establece cómo se ve un proceso robusto bajo las expectativas regulatorias actuales.
Exposición de auditoría y estados financieros
Para los equipos de auditoría, la pregunta relevante es si algún cliente tiene activos cripto materiales en una plataforma que ha perdido su autorización MiCA o está en proceso de cierre. Los activos mantenidos en una empresa no autorizada pueden estar sujetos a restricciones de retiro, riesgo de insolvencia o interrupción operativa durante una salida apresurada. Esa es una cuestión de empresa en funcionamiento y recuperabilidad de activos, y debe estar en la agenda de planificación de auditoría para cualquier compromiso con exposición de balance en cripto. IFRS y EU GAAP no proporcionan orientación específica sobre el riesgo de custodia de intermediarios no autorizados, pero el marco general de deterioro y divulgación es claro: si existe incertidumbre material sobre la recuperabilidad de un activo, debe divulgarse.
Obligaciones AML y cribado de sanciones
La brecha de exposición a sanciones tres veces mayor entre empresas no autorizadas y autorizadas es el número que debería agudizar la atención más rápido. Las obligaciones AML de la UE se aplican a entidades obligadas que transaccionan con proveedores de servicios de criptoactivos independientemente de si la contraparte está autorizada bajo MiCA. Si un cliente todavía está enrutando transacciones a través de una empresa no autorizada después de julio de 2026, esa relación ahora conlleva una obligación mejorada de cribado de sanciones y un posible desencadenante de reporte regulatorio. Las firmas contables que actúan como entidades de reporte AML necesitan evaluar si sus propios procedimientos cubren adecuadamente este escenario.
Para las empresas que navegan el panorama de cumplimiento de MiCA en general, nuestro análisis anterior sobre el impacto de MiCA en los equipos de contabilidad de stablecoins cubre las dimensiones de clasificación de activos que acompañan la historia de licencias.
Preguntas frecuentes
¿Qué pasó con las empresas que no obtuvieron la autorización MiCA para el 1 de julio de 2026?
A partir del 1 de julio de 2026, esas empresas no pueden proporcionar legalmente servicios de criptoactivos en la UE. Deben elegir entre una salida ordenada del mercado, reestructurarse en una entidad autorizada o transferir sus relaciones con clientes a un CASP con licencia. AMLA espera que estas transiciones creen una disrupción material en el mercado y ha pedido a los supervisores nacionales que monitoreen de cerca los planes de salida.
¿Por qué algunas jurisdicciones tuvieron tasas de conversión de MiCA muy bajas?
Jurisdicciones como Lituania y Polonia habían acumulado registros nacionales muy grandes bajo regímenes pre-MiCA relativamente permisivos. Muchos registrantes nunca operaron servicios cripto observables, y los que lo hicieron a menudo no cumplían con los requisitos de autorización más rigurosos de MiCA. La baja tasa de conversión refleja tanto el efecto de filtrado de los estándares más altos como el legado del arbitraje regulatorio dentro del antiguo régimen fragmentado de la UE.
¿Cuánto más riesgosas son las empresas no autorizadas en comparación con las autorizadas?
Según datos de TRM Labs, el 12% de las empresas no autorizadas tienen una calificación de riesgo Alto o Severo frente al 2% de las autorizadas. Cada calificación Severa en el conjunto de datos pertenece a una empresa no autorizada. Un pequeño subconjunto de empresas no autorizadas también envía entre el 1% y el 12% de su volumen directamente a direcciones ilícitas, un umbral que ninguna empresa autorizada cruza.
¿Qué significa el pasaporte para la supervisión después de MiCA?
El pasaporte permite que un CASP autorizado sirva a clientes en todos los estados miembros de la UE desde una sola autorización de origen. Como resultado, la responsabilidad supervisora se está concentrando en un pequeño número de estados miembros, particularmente Alemania, Irlanda, Malta, Chipre y Luxemburgo, cuyos reguladores ahora son responsables de supervisar empresas que sirven a clientes en países que no emitieron autorizaciones de origen. AMLA ha señalado esta concentración como un factor de posible inconsistencia AML/CFT en todo el bloque.
¿Qué debería hacer ahora una firma contable o un director financiero?
Hay tres pasos inmediatos que vale la pena tomar. Primero, identificar cualquier cliente o empresa de cartera que tenga activos en un CASP no autorizado y evaluar las implicaciones de recuperabilidad y divulgación. Segundo, revisar si algún cliente CASP autorizado planea absorber clientes de empresas no autorizadas y, si es así, asegurarse de que sus marcos de debida diligencia y monitoreo de transacciones estén calibrados para el riesgo de cola elevado en esa población migrante. Tercero, verificar si alguna relación de contraparte existente involucra empresas no autorizadas, porque las obligaciones AML de la UE y los requisitos de cribado de sanciones se aplican independientemente del estado de MiCA de la contraparte.
Fuente: TRM Labs