PSAV: el expediente no arranca sin la parte técnica

El 1 de setiembre abrió la ventana para que los proveedores de servicios de activos virtuales soliciten autorización ante el Banco Central del Uruguay. Los que ya operan tienen plazo hasta el 31 de marzo de 2027 y pueden seguir funcionando mientras el expediente se tramita. Los nuevos necesitan la autorización antes de empezar.

El marco viene de la Ley 20.345 y se reglamentó por la Circular 2507, que incorporó el Título VII Ter a la Recopilación de Normas del Mercado de Valores. Casi todo lo que se publicó al respecto se ocupa de la figura, del capital mínimo y de la prevención de lavado, que es donde está el grueso del trabajo. Vale la pena mirar una parte más chica y con menos difusión, porque tiene una consecuencia práctica inmediata.

Tres documentos que condicionan el trámite

El literal k del artículo 127.27 pide que la solicitud venga acompañada de una política de resguardo definida, un plan de continuidad de las operaciones y un plan de recuperación ante desastres. El mismo artículo cierra la enumeración diciendo que no se dará trámite a ninguna solicitud que no traiga toda la documentación requerida.

O sea que no son observaciones para subsanar más adelante. Sin esos tres documentos el expediente no empieza a correr, y el reloj de la ventana sigue corriendo igual.

Y uno hay que probarlo, no solo escribirlo

El artículo 127.42 agrega el requisito que cambia la naturaleza del trabajo. Cuando hay procesamiento de datos en el exterior, que es el caso de casi cualquier operación montada sobre nube, los planes de continuidad y de recuperación deben ser probados con resultados exitosos dentro de los sesenta días corridos desde el inicio de la actividad, y después al menos una vez al año. La Superintendencia de Servicios Financieros puede disponer que esas pruebas se hagan bajo su supervisión.

El mismo artículo exige que una copia de los respaldos quede físicamente en Uruguay, o bien un punto unificado de acceso en el país que permita control total y permanente de los datos procesados afuera, incluidas las claves necesarias para desencriptarlos.

Nada de eso se resuelve redactando. Es infraestructura que tiene que existir, y una prueba que tiene que salir bien en una fecha, con el regulador eventualmente mirando.

Cómo lo estamos abordando

JAAB trabaja en esto junto a 3fi5ienta Labs, que lleva el carril regulatorio y de prevención de lavado. La parte de JAAB es la técnica: el relevamiento de procesos críticos, la política de resguardo, los planes de continuidad y recuperación, y las pruebas que la norma exige que salgan bien.

Es el mismo tipo de encargo que el de CTO fraccional: una empresa que necesita criterio técnico con responsabilidad, por un período y un alcance definidos, sin sumar un rol permanente. Acá la diferencia es que la fecha la puso el regulador.

Un límite que conviene decir de entrada, porque es del propio régimen: prestarle a un PSAV un servicio inherente a su giro coloca al proveedor bajo las mismas normas del Banco Central para esa actividad. El trabajo de asesoría, de diseño y de auditoría de sistemas es otra cosa, y es donde JAAB opera.

Si está evaluando presentarse, o ya tiene el expediente en marcha y la parte técnica sin resolver, escríbanos.