Construir una sola vez

Cuando se anuncia una norma nueva, muchas empresas reaccionan igual: con miedo. ¿Nos van a prohibir algo? ¿Cuánto nos va a costar? ¿Tendremos que rehacerlo todo?

Se esté más o menos de acuerdo con una norma, la experiencia en sectores muy regulados, como la banca o los pagos, enseña algo útil: lo que sale más caro no es cumplirla, sino descubrirla tarde.

Un ejemplo: MiCA

En junio de 2023 se publicó en Europa el reglamento MiCA, el primer marco común para los criptoactivos en toda la Unión. Sus normas sobre stablecoins se aplican desde el 30 de junio de 2024. Las que afectan a exchanges, custodios y demás proveedores de servicios entran en vigor el 30 de diciembre de 2024, con un periodo de transición para quienes ya operaban.

Entre otras cosas, MiCA exige que los proveedores que custodian criptoactivos de sus clientes los mantengan separados de los suyos propios, tanto en la cadena como legalmente. Si la empresa quiebra, sus acreedores no pueden tocar el dinero de los clientes.

Parece obvio, pero no siempre se ha hecho así. En noviembre de 2022, la quiebra del exchange FTX reveló que los fondos de sus clientes se habían usado para otros fines, y muchos usuarios perdieron lo que tenían depositado. Una regla como esta convierte una buena práctica en una obligación.

Un requisito más

La idea de fondo sirve para cualquier norma: la normativa es un requisito del producto, igual que la velocidad, la seguridad o la accesibilidad.

Si se tiene en cuenta desde el diseño, cuesta poco. Separar los fondos de los clientes en una plataforma nueva es una decisión de arquitectura de un día. Hacerlo en una plataforma que lleva años mezclándolos puede llevar meses y obligar a rehacer media aplicación.

Por eso, cuando llega una norma, la pregunta útil no es «¿cómo nos afecta?», sino «¿qué tiene que hacer nuestro sistema para cumplirla?». La primera da miedo. La segunda se puede convertir en una lista de tareas.

Tres hábitos que ayudan

Leer la norma pronto y traducirla a requisitos. Las normas europeas se publican mucho antes de aplicarse; MiCA, año y medio antes. Ese tiempo sirve para convertir artículos legales en frases concretas: «el sistema debe mantener separados los fondos de cada cliente», «el sistema debe poder generar este informe».

Guardar solo lo que la ley exige. Cumplir no significa acumular datos «por si acaso», y hay datos que, una vez filtrados, no se pueden cambiar. Cada dato de más es un riesgo más y una obligación más de protegerlo. La privacidad y el cumplimiento pueden ir de la mano: guardar lo justo es, a la vez, más seguro y más fácil de defender ante un auditor.

Dejar rastro de las decisiones. Anotar por qué el sistema hace lo que hace, qué artículo motivó cada cambio y quién lo aprobó. El día que llegue una auditoría, esa memoria vale oro.

Lo que cambia para quien usa estos servicios

Usar una plataforma regulada significa aceptar sus reglas: entregar tus datos personales para abrir una cuenta, seguir sus pasos para operar y depender de lo que esté autorizada a ofrecer en tu país. A cambio, tus fondos deben estar separados de los suyos. Es una elección, y como toda elección, tiene un precio.

Por eso conviene recordar que las plataformas reguladas no son la única opción. Quien prefiere custodiar sus propios fondos, con sus propias claves, puede seguir haciéndolo. La regulación ordena a quienes guardan el dinero de otros; no obliga a nadie a dejar el suyo en manos ajenas.

Planos, no amenazas

Una norma bien leída se parece más a unos planos que a una amenaza: dice qué tiene que sostener la estructura. Quien la incorpora desde el principio construye una vez. Quien la ignora hasta el final construye dos veces.