Paquete de Sanciones 21 de la UE: La Prohibición Cripto para Terceros Países y lo que Significa para su Firma

El paquete de sanciones 21 de la Unión Europea, publicado en agosto de 2026, establece un nuevo precedente. Por primera vez, las normas de sanciones de la UE introducen lo que los analistas denominan una "prohibición para terceros países" sobre la actividad de criptoactivos, es decir, restricciones que se dirigen a la geografía de un servicio y no solo a la identidad de una contraparte. Para firmas de contabilidad, auditores y CFOs con cualquier exposición a activos digitales, esto no es una actualización regulatoria de fondo. Rediseña el perímetro de qué transacciones pueden registrarse, qué saldos pueden mantenerse y qué divulgaciones se requieren.

Qué dice realmente el paquete de sanciones 21

Los paquetes de sanciones anteriores de la UE dirigidos a cripto seguían en gran medida el patrón convencional: congelar los activos de personas y entidades nombradas, prohibir a las personas de la UE transaccionar con ellos, y exigir a los proveedores de servicios de criptoactivos (CASPs) que examinaran y bloquearan en consecuencia. El paquete 21 conserva todo eso, pero añade una restricción geográfica que es estructuralmente diferente.

La dimensión de terceros países

Las nuevas reglas prohíben a los CASPs autorizados por la UE prestar servicios en o hacia terceros países específicos, cuando esos servicios se relacionan con criptoactivos y cuando la preocupación es que la jurisdicción proporcione un canal para la evasión de sanciones. La lógica es sencilla: si un CASP puede incorporar libremente a usuarios o procesar transacciones enrutadas a través de una jurisdicción no perteneciente a la UE que carece de controles equivalentes, todo el régimen de sanciones de la UE puede eludirse con una sola decisión de enrutamiento. El paquete aborda esa brecha directamente.

Esta capa geográfica significa que el cumplimiento ya no se satisface únicamente mediante el examen de las contrapartes contra las listas consolidadas de la UE. Las firmas también deben evaluar dónde se origina o termina una transacción, y si esa geografía en sí misma desencadena una restricción, independientemente de si la contraparte específica está nombrada en alguna lista.

Interacción con las obligaciones existentes de los CASP

Los CASPs autorizados por la UE ya operan bajo el marco de autorización de MiCA y los requisitos de regla de viaje del Reglamento sobre la Transferencia de Fondos. El paquete 21 se superpone a ambos. Un CASP que cumple con MiCA y con la regla de viaje no es automáticamente compatible con las sanciones bajo las nuevas reglas geográficas. Los tres regímenes son acumulativos, no alternativos. Para las firmas que asesoran a CASPs o que mantienen inversiones en CASPs en su balance, esa superposición tiene implicaciones directas en cómo evalúan el perfil de riesgo regulatorio de un cliente o participada.

Quién se ve afectado directamente

El impacto más inmediato recae sobre los CASPs regulados que operan bajo autorizaciones MiCA en los estados miembros de la UE. Pero los efectos secundarios llegan más lejos.

Firmas de contabilidad y auditores

Las firmas que auditan CASPs, o que auditan empresas con posiciones materiales de tesorería en cripto, ahora deben incorporar la prohibición de terceros países en su evaluación de negocio en marcha y riesgo. Un cliente de auditoría que enruta una parte significativa de su volumen de cripto a través de una jurisdicción restringida tiene una exposición regulatoria que debe evaluarse, divulgarse y potencialmente calificarse. Lo mismo aplica a las firmas que proporcionan funciones subcontratadas de cumplimiento o riesgo de delitos financieros a CASPs: el alcance del compromiso puede necesitar extenderse para cubrir el examen geográfico, no solo el examen de contrapartes.

Desde una perspectiva de cumplimiento MiCA y calidad institucional en las finanzas digitales europeas, el paquete 21 acelera una tendencia que ya era visible: el listón para lo que cuenta como cumplimiento cripto adecuado en Europa sigue subiendo, y las firmas cuyos marcos internos fueron calibrados a requisitos de generaciones anteriores ahora están por detrás de la curva.

CFOs y equipos de tesorería

Los equipos de tesorería corporativa que mantienen criptoactivos, o que usan raíles de cripto para pagos transfronterizos, enfrentan dos preguntas distintas. Primero, ¿la infraestructura actual de contrapartes o enrutamiento de la tesorería pasa por un tercer país restringido? Segundo, ¿el proveedor CASP de la firma tiene controles adecuados para garantizar que las propias transacciones de la firma no incurran inadvertidamente en incumplimiento? La segunda pregunta importa porque las regulaciones imponen obligaciones tanto al CASP como, en algunas circunstancias, a la entidad cliente. La ignorancia de una geografía de enrutamiento no es una defensa.

Los CFOs también deberían considerar si las divulgaciones existentes en informes anuales e intermedios capturan adecuadamente esta nueva capa regulatoria. Si una parte material de la actividad cripto de una firma está ahora sujeta a restricciones geográficas, eso es un pasivo contingente y un factor de negocio en marcha que los auditores preguntarán.

Gestores de fondos e inversores institucionales

Los gestores de fondos con asignaciones a activos digitales deben verificar si alguna de sus tenencias está custodiada o administrada a través de estructuras que tocan jurisdicciones restringidas. Esto incluye fondos de fondos y productos estructurados donde la exposición subyacente al CASP puede no ser inmediatamente visible en los documentos del fondo de nivel superior. Una posición que parece limpia a nivel del fondo puede llevar un incumplimiento a nivel de subfondo o custodio.

Implicaciones contables y de reporte

Deterioro de activos y valor razonable

Bajo IFRS y US GAAP, los criptoactivos mantenidos a valor razonable requieren una evaluación continua de si las condiciones del mercado o eventos regulatorios han afectado ese valor. Una prohibición de terceros países que restringe la capacidad de negociar, transferir o liquidar una posición en una geografía particular es un input de valor razonable de Nivel 3: afecta el mercado principal del activo y la capacidad de la firma para salir de la posición al precio cotizado. Los equipos financieros deben revisar sus divulgaciones de jerarquía de valor razonable y considerar si se justifica algún ajuste.

Para los activos mantenidos bajo el modelo de costo menos deterioro, la pregunta es si las nuevas restricciones constituyen un desencadenante de deterioro. Si una posición cripto se mantiene a través de un CASP que a su vez está restringido para operar en su mercado principal, la recuperabilidad de esa posición se ve afectada materialmente.

Provisiones y pasivos contingentes

Cuando una firma ya ha transaccionado en una geografía que ahora puede estar restringida, o cuando hay incertidumbre sobre si la actividad pasada cumple con las nuevas reglas, puede requerirse una provisión o divulgación de pasivo contingente bajo IAS 37. El umbral es una obligación presente como resultado de un evento pasado, con una salida probable de recursos. Las multas regulatorias o la restitución requerida de ganancias de actividad restringida podrían cumplir esa prueba.

Cómo debe responder el software de contabilidad cripto

La dimensión geográfica del paquete 21 crea un requisito directo para que el software de contabilidad de criptomonedas capture y señale las geografías de las transacciones, no solo las identidades de las contrapartes. Las firmas que utilizan software de contabilidad de activos digitales construido en torno al examen de sanciones a nivel de contraparte deberán evaluar si ese software puede configurarse para señalar transacciones por jurisdicción de enrutamiento. Cuando no pueda, se necesita un proceso de anulación manual en el interim, con una hoja de ruta de actualización tecnológica a medio plazo.

Esto también es relevante al evaluar software de contabilidad cripto para clientes CASP: la capacidad de examen geográfico es ahora una característica crítica para el cumplimiento, no un extra. Las firmas que ayudan a clientes a seleccionar o configurar dicho software tienen el deber de señalar esta brecha.

Cumplimiento AML y delitos financieros

Las implicaciones AML de la prohibición de terceros países interactúan estrechamente con el marco de regla de viaje existente bajo el Reglamento sobre la Transferencia de Fondos. La regla de viaje requiere que la información del ordenante y del beneficiario viaje con cualquier transferencia cripto por encima del umbral. Las restricciones geográficas del paquete 21 añaden una pregunta adicional: incluso cuando los datos de la regla de viaje están completos, ¿la geografía de enrutamiento en sí misma crea un incumplimiento?

Reconfiguración del monitoreo de transacciones

Los equipos de cumplimiento deben esperar reconfigurar las reglas de monitoreo de transacciones para añadir señales geográficas junto con las alertas existentes basadas en contrapartes y umbrales. No es un ejercicio trivial. Muchos sistemas de monitoreo de transacciones en el espacio cripto fueron construidos con el examen de direcciones blockchain como control principal, con lógica a nivel de jurisdicción añadida como capa secundaria. Invertir esa prioridad, o al menos dar a la capa geográfica el mismo peso, requiere una revisión formal del conjunto de reglas y, en muchos casos, la participación de proveedores.

La interacción con cómo el crimen cripto impulsado por IA está remodelando las obligaciones AML para las firmas de contabilidad también es relevante aquí: los actores sofisticados que buscan explotar geografías restringidas están utilizando cada vez más la estructuración de transacciones asistida por IA para oscurecer las rutas de enrutamiento. Las firmas necesitan sistemas de monitoreo que puedan detectar la estratificación a través de múltiples jurisdicciones, no solo transferencias directas a geografías restringidas.

Reporte de transacciones sospechosas

Cuando una firma identifica una transacción que puede haber tocado una jurisdicción restringida, incluso históricamente, eso puede desencadenar una obligación de reporte de transacción sospechosa (STR) bajo la legislación AML nacional que transpone las Directivas de la UE contra el lavado de dinero. El umbral para reportar es sospecha razonable, no certeza. Los oficiales de cumplimiento deben adoptar un enfoque conservador en el período inmediatamente posterior a la adopción del paquete, mientras se emite la guía de aplicación de las autoridades nacionales competentes.

Pasos prácticos para las firmas: una lista de verificación priorizada

Dada la novedad de la restricción geográfica, la necesidad más apremiante es un plan de acción interno claro. Los siguientes pasos reflejan las áreas de mayor riesgo inmediato.

Paso 1: Mapeo jurisdiccional

Antes que nada, las firmas deben saber qué terceros países están especificados bajo el paquete 21 y mapear su base de clientes actual, flujos de transacciones y acuerdos de custodia contra esa lista. Este mapeo debe cubrir no solo contrapartes directas sino también CASPs intermediarios y sub-custodios. Una transacción que pasa por una jurisdicción restringida en cualquier punto de su enrutamiento puede estar dentro del alcance.

Paso 2: Evaluación de brechas tecnológicas

Revise si el software de contabilidad cripto actual, los sistemas de monitoreo de transacciones y las plataformas de incorporación pueden examinar por jurisdicción de enrutamiento. Cuando no puedan, documente la brecha, implemente controles manuales provisionales e inicie una conversación con el proveedor sobre un cronograma para la remediación. Los reguladores esperarán que las firmas demuestren que identificaron la brecha y actuaron con prontitud.

Paso 3: Notificación a clientes y contrapartes

Cuando un CASP tiene clientes cuya actividad puede verse afectada por la prohibición de terceros países, esos clientes deben ser notificados y, cuando sea necesario, dados de baja o restringidos de las actividades relevantes. Esto tiene dimensiones contractuales y regulatorias: los acuerdos de clientes pueden necesitar ser revisados para cláusulas de fuerza mayor o cambio regulatorio que gobiernen cómo el CASP puede restringir servicios.

Paso 4: Revisión de estados financieros

Los equipos financieros deben revisar los estados financieros del período actual y anterior para cualquier divulgación, valoración o provisión que pueda necesitar actualización a la luz de las nuevas restricciones. Los auditores deben ser informados proactivamente en lugar de esperar la próxima revisión programada.

Paso 5: Monitorear la guía de aplicación

El paquete 21 es legislación adoptada, pero la guía de aplicación de la Comisión Europea y las autoridades nacionales competentes seguirá desarrollándose. Las firmas deben asignar a una persona designada para rastrear esa guía y escalar los desarrollos materiales a la alta dirección y a los comités de auditoría con prontitud.

Preguntas frecuentes

¿La prohibición de terceros países se aplica a todos los criptoactivos, o solo a tipos específicos?

Las restricciones se aplican a los criptoactivos en general, de manera consistente con cómo las sanciones de la UE y los marcos MiCA definen la clase de activo. No hay excepción para tipos específicos de activos como stablecoins o tokens de utilidad en esta etapa. Las firmas deben aplicar las restricciones en todo su libro de activos digitales hasta que una guía de aplicación adicional reduzca o aclare el alcance.

Si el software de contabilidad cripto de una firma señala una transacción después del hecho, ¿sigue siendo responsable la firma?

Sí. La obligación es prevenir que ocurra la transacción restringida, no meramente detectarla retrospectivamente. La detección posterior al hecho puede mitigar una penalización, particularmente si la firma se auto-reporta y coopera con la autoridad competente, pero no elimina la responsabilidad. El objetivo de cualquier actualización tecnológica debe ser el examen geográfico previo a la transacción, no solo el reporte posterior a la transacción.

¿Cómo interactúa la prohibición de terceros países con el régimen de autorización MiCA?

La autorización MiCA permite a un CASP operar en todos los estados miembros de la UE bajo un régimen de pasaporte, pero no autoriza la actividad en terceros países. Las restricciones del paquete 21 añaden una prohibición adicional sobre ciertos servicios de terceros países además de las limitaciones de alcance existentes de MiCA. Un CASP autorizado por MiCA que no estaba prestando servicios en jurisdicciones restringidas no se ve afectado en gran medida operativamente, pero debe verificar que su enrutamiento de transacciones no pase por geografías restringidas.

¿Se ven afectadas las firmas no pertenecientes a la UE si procesan transacciones originadas en la UE?

El alcance extraterritorial de las sanciones de la UE es una cuestión legal compleja, pero como principio general, cualquier firma que procese transacciones que involucren a personas de la UE o fondos de origen de la UE puede estar sujeta a las obligaciones de sanciones de la UE. Los CASPs no pertenecientes a la UE que prestan servicios a clientes de la UE deben buscar asesoramiento legal sobre su exposición bajo el paquete 21, particularmente si alguna de su infraestructura de enrutamiento toca terceros países restringidos.

¿Qué debería preguntar un comité de auditoría a la dirección ahora mismo?

Los comités de auditoría deben pedir a la dirección que confirme: qué terceros países están listados bajo el paquete 21; si la firma tiene alguna exposición directa o indirecta a esas jurisdicciones a través de actividad de clientes, acuerdos de custodia o enrutamiento de transacciones; si los sistemas tecnológicos actuales pueden examinar a nivel geográfico; y si se requieren provisiones o divulgaciones de pasivos contingentes en el próximo período de reporte. La dirección debería poder responder esas preguntas en días, no semanas.

Fuente: Elliptic