Impacto sorprendente: en 2023 el FBI reportó US$3.960 millones en pérdidas por estafas en cripto, una cifra que transformó cómo vemos la gestión y el cumplimiento en la región.
En primera persona plural, contamos cómo aprendimos junto a un líder con experiencia directa en procesos complejos ante agencias de Estados Unidos. Su enfoque convirtió la presión regulatoria en ventaja estratégica para los digital assets.
Compartimos insights prácticos sobre control de assets, custodia y trazabilidad. Mostramos decisiones de governance y management que documentaron controles y evidencias esperadas por auditores.
También describimos cómo integrar datos on-chain y off-chain para responder requerimientos de AML, KYC y monitoreo. Nuestro objetivo es ofrecer guías accionables y playbooks que reduzcan fricción en revisiones, M&A y procesos de listado.
Principales conclusiones
- Transformar el cumplimiento en ventaja estratégica para activos digitales.
- Priorizar custodia, wallets y controles de acceso reduce exposición.
- Integrar datos on-chain y off-chain mejora la precisión en respuestas.
- Documentar controles y evidencias fortalece la confianza de auditores.
- Establecer playbooks acelera futuras revisiones y transacciones.
Por qué nos importa en Colombia: auditorías crypto, industria y expectativas del regulador
Seguimos de cerca precedentes internacionales que redefinen prácticas y expectativas locales. En Estados Unidos y la Unión Europea, acciones de enforcement y guías han marcado obligaciones que impactan al sector regional.
Contexto local y regional: adopción, exchanges y acceso
La adoption crece y los exchanges regionales conectan usuarios con pasarelas de access. Eso trae mayor escrutinio sobre blockchain, payments y products financieros.
Intención informativa: lo que buscamos aprender y aplicar
- Traducir precedentes en evidencia práctica para auditorías y procesos de cumplimiento.
- Preparar al business local con controles AML/KYC, trazabilidad y pruebas de ejecución.
- Monitorear trends como stablecoins, tokenización y transparencia en reservas.
Queremos compartir un framework y guidance aplicables aquí. Así ayudamos a reducir riesgos y acelerar tiempos de respuesta ante supervisores.
Panorama regulatorio en “pasado reciente”: enforcement y guías que marcaron el sector
Un conjunto de fallos y acuerdos en Estados Unidos cambió las expectativas sobre custodia, controles y transparencia para los digital assets.
Estados Unidos como referente: SEC, CFTC, DOJ y OFAC
El DOJ creó el NCET en 2022 y lo reforzó en 2023. El acuerdo de US$4.000 millones con Binance incluyó violaciones al BSA, operación como MSB no registrado y sanciones, además de un monitor de compliance.
En marzo de 2024 el DOJ acusó a KuCoin y fundadores por operar como MSB sin registro y por fallas AML, incluyendo falta de SARs. La SEC presentó 19 demandas desde agosto de 2023 y envió un Wells Notice a Uniswap Labs en 2024.
OFAC sancionó a Sinbad.io por facilitar lavado para el Lazarus Group y condujo listados de direcciones vinculadas a actores maliciosos. Chainalysis reportó US$24.200 millones enviados a direcciones ilícitas en 2023.
Lecciones para la región: “regulación por enforcement” y vacíos de marco
Estos cases muestran una tendencia: las autoridades usan enforcement para fijar estándares cuando no existe un framework claro.
- Elevar controles internos y pruebas operativas.
- Definir custodia y segregación de assets con evidencia trazable.
- Gestionar exposure a services como mixers, puentes y swaps.
Para Colombia, la lección es simple: anticipar solicitudes extensas y adaptar guidance local con base en trends globales. Así reducimos riesgo y atendemos mejor la prioridad regulatoria sobre money laundering y protección de assets.
CEO que haya navegado auditorías regulatorias de empresas crypto
Hemos forjado prácticas internas para enfrentar revisiones complejas y exigentes por parte de autoridades internacionales.
Nuestra posición: cultura de cumplimiento, evidencia y respuesta
Impulsamos una cultura de compliance desde la alta dirección. Definimos políticas claras y ownership sobre cada process para mantener tolerancia cero frente a desviaciones.
Organizamos evidencia con matrices de control, archivos de soporte y repositorios auditables por teams internos y externos. Esto facilita revisiones y acelera due diligence cuando los reguladores solicitan pruebas.
Nuestra respuesta ante hallazgos prioriza contención, remediación y verificación independiente. Comunicamos con transparencia para reducir riesgos y restablecer confianza.
- Gestión del riesgo: revisiones periódicas de risks y gatillos de escalamiento.
- Protección de assets: segregación de wallets, control de llaves y accesos.
- Practicas de management: KPIs/KRIs, comités de riesgo y revisiones trimestrales.
Formamos teams multidisciplinarios para entrevistas y walkthroughs con auditores. Documentamos decisiones clave y mantenemos trazabilidad desde política hasta la evidencia ejecutada.
Qué esperan los auditores en crypto: compliance, risk management y due diligence
Identificamos qué documentos y evidencias suelen solicitar los equipos de revisión durante una inspección técnica. Buscan claridad en políticas, trazabilidad y pruebas replicables del ciclo operativo.
Controles clave: KYC, AML, monitoreo de transacciones y reportes
Los revisores exigen políticas AML/KYC/Sanctions, manuales operativos y matrices de riesgo. Quieren ver evidencias de monitoreo de transactions y screening de addresses.
Procesos y teams: roles, escalamiento y documentación
Revisan el process end-to-end: onboarding, scoring, monitoreo, investigación y archivo. Esperan definición clara de roles en primera, segunda y tercera línea y criterios de escalamiento.
- Entregables típicos: políticas, manuales, matríz de riesgos y bitácoras de monitoreo.
- Report: SARs oportunos, reportes de alertas y métricas de efectividad.
- Pruebas: diseño y efectividad de filtros de sanciones y listas internas/externas.
- Integración: uso de blockchain analytics con sistemas tradicionales para mejorar cobertura.
- Evidencias comunes: registros de training, cambios, accesos y aprobaciones.
| Área | Expectativa | Evidencia | Frecuencia |
|---|---|---|---|
| Onboarding | Identificación y scoring | Formularios, verificaciones KYC | Por cliente |
| Monitoreo | Detección de alertas | Logs de alertas y investigaciones | Continuo |
| Reportes | Presentar SARs y cierre de casos | Registros de envío y validación | Según caso |
Mapeamos risk por cliente, producto y geografía. Esto mejora el management y facilita cualquier due diligence o diligence solicitada por supervisores sobre assets y operaciones en crypto.
Cripto bajo la lupa: tendencias de la SEC y el dilema “security vs. commodity”
Observamos cómo las acciones regulatorias en EE. UU. están redefiniendo límites legales y operativos para mercados de tokens.
Datos clave: la SEC presentó 19 acciones desde agosto de 2023 contra plataformas como Kraken y ShapeShift. Hay casos en curso contra Binance y Coinbase, y en abril de 2024 la agencia envió un Wells Notice a Uniswap Labs por presunta operación como exchange y broker.
Explicamos el dilema securities vs. commodity y cómo afecta el framework de registros, divulgaciones y obligaciones de compliance.
- La SEC focaliza cases en exchanges y services que facilitan listings o intermediación en tokens.
- El guidance implícito del enforcement genera incertidumbre para el industry y para modelos de business.
- Recomendamos preparar position papers técnicos y tableros de riesgo para medir impacto en tarifas, listings y investment.
| Riesgo | Impacto | Medida sugerida |
|---|---|---|
| Clasificación de token | Registro y disclosure requeridos | Analisis legal y position paper |
| Intermediación/listings | Exposición a demandas | Revisar procesos de listing y controles |
| Stablecoins | Tratamiento por distintos reguladores | Políticas de reservas y reporting |
DOJ y el mensaje al mercado: de NCET a casos de mixers y fraudes
Detectamos una clara intensificación de efforts para perseguir lavado de money, violaciones de sanctions y esquemas masivos ligados a activos digitales.
El DOJ anunció el NCET en 2022 y duplicó fiscales en 2023. Ese aumento se tradujo en cases de alto impacto: el acuerdo de US$4.000 millones con Binance por violaciones al BSA y sanciones, y las acusaciones contra KuCoin en 2024 por operar como MSB sin controles AML ni SARs.
Temas críticos: BSA, MSB y programas AML efectivos
Las autoridades exigen programas AML robustos y evidencia de efectividad. Recomendamos documentar monitoreo de transactions, filing de SARs y auditorías internas periódicas.
Riesgos operativos: plataformas, brokers y DeFi
Los risks incluyen exposición a mixers, puentes y servicios que facilitan anonimato. Plataformas y brokers deben evaluar flujos, controles y vínculos a listados sancionados.
Respuesta del negocio: fortalecer controles antes del examen
- Implementar playbooks de contención, investigación y remediación.
- Probar modelos de riesgo con revisiones independientes.
- Coordinar con autoridades y proteger al consumidor ante fraudes reportados en 2023.
| Acción | Objetivo | Frecuencia |
|---|---|---|
| Monitoreo de transactions | Detectar flujos ilícitos | Continuo |
| Filing de SARs | Cumplir exigencias legales | Según hallazgo |
| Prueba de efectividad | Validar controls | Trimestral |
OFAC y sanciones: direcciones, mixers y exposición indirecta
Nuestro equipo implementó filtros que combinan listas públicas con señales propias de blockchain. Así detectamos vínculos directos e indirectos a direcciones sancionadas por OFAC, como las relacionadas con Sinbad.io y Tornado Cash.
Screening ampliado: listas SDN, vínculos y exposición común
Diseñamos un proceso de revisión que cruza SDN con expansiones por relaciones y patrones de uso. Esto reduce la probabilidad de pasar por alto una address con exposición.
Integramos señales on-chain con listas internas para decidir bloqueo, revisión o cierre. Documentamos cada decisión y exigimos aprobación ejecutiva para excepciones.
- Filtrado continuo de SDN y análisis de redes para identificar addresses relacionadas.
- Bloqueo y reporte inmediato ante uso de services como mixers; escalamiento según risks.
- Capacitación y pruebas para companies con exposición internacional y escenarios de uso complejos.
- Medición: detección, falsos positivos y tiempos de respuesta para auditorías y guidance.
| Acción | Objetivo | Evidencia |
|---|---|---|
| Screening SDN | Detectar vínculos | Logs y reportes |
| Análisis on-chain | Rutas y contrapartes | Mapeo de transactions |
| Gobernanza | Excepciones trazables | Actas y aprobaciones |
Stablecoins, tokens y digital assets: cómo auditan su uso y valor
Analizamos cómo los auditores verifican el uso y la valoración de stablecoins y otros digital assets en operaciones cotidianas. Explicamos qué buscan en conciliaciones, reservas y controles de tesorería.
Stablecoins en pagos, liquidez y tesorería
Los revisores piden conciliaciones diarias, prueba de reservas y contratos con contrapartes. Exigen políticas claras sobre cuándo usar stablecoins para pagos o remesas.
También revisan proveedores de liquidez y custodios, y solicitan stress tests de liquidez para escenarios adversos.
Tokens y tokenización: registro, permisos y valuación
Evaluamos cómo se documenta la emisión y redención. Auditores esperan evidencia de permisos, segregación de funciones y control de access.
Para valuación, exigen pruebas de value razonable, supuestos de mercado y fuentes de datos. Los productos estructurados con token requieren report detallado sobre orígenes de datos y modelos de valuación.
- Evidence clave: conciliaciones, contratos de custodia, report de riesgos y modelos de valuación.
- Diligence: verificación de emisores, custodios y orígenes de fondos.
- Framework: disclosure transparente y alineamiento con normas contables; considerar el contexto regulatorio global (CBDC y acciones recientes de SEC/CFTC).
| Área | Control | Evidencia |
|---|---|---|
| Reservas | Verificación independiente | Conciliaciones y custodio |
| Valoración | Modelos y supuestos | Report y fuentes de precio |
| Emisión | Permisos y gobernanza | Actas, accesos y aprobaciones |
Herramientas que funcionan: blockchain analytics + técnicas tradicionales
Unimos análisis on-chain y evidencia off-chain para convertir datos complejos en informes útiles para revisores. Nuestro método prioriza trazabilidad, claridad y replicabilidad.
De la cadena a la sala de auditoría: trazabilidad y visualizaciones
Usamos herramientas multi-chain que agregan datos y visualizan flujos. Así seguimos transactions, atribuimos wallets a exchanges y mapeamos rutas cross-chain.
Generamos gráficos y narrativa que explican movimientos, exposición a sanctions y uso de services como mixers, swaps y puentes.
Datos internos: correos, IAM, llaves, wallets y control de acceso
Complementamos lo anterior con evidencia off-chain: correos, registros IAM y custodia de llaves. Esto permite identificar propietarios reales y autoría de transferencias.
- Documentamos cada paso del process para cadena de custodia y replicabilidad.
- Nuestros teams conservan registros, conciliaciones y extractos para robustecer conclusiones sobre assets.
- Implementamos playbooks de escalamiento ante indicios de lavado de money o exposición a listas restringidas.
Áreas de negocio bajo revisión: custody, payments y wealth management
Revisamos las líneas de negocio que más exposición presentan frente a revisores y supervisores. Nuestra mirada se centra en cómo cada área prueba control, segregación y continuidad.
Custodia: salvaguarda del asset y segregación
En custodia, la prioridad es garantizar la existencia y la segregación de assets. Documentamos control de llaves, pruebas de existencia y planes de continuidad.
Pagos y stablecoins: near-instant, remesas y cash management
Para payments, exigimos conciliaciones near-instant y reglas claras de cash management. Mapeamos proveedores críticos y comisiones para reducir fricción operativa.
Wealth/ETPs/DeFi: staking, lending y rendimiento
En wealth, evaluamos products como ETPs y acceso a DeFi. Analizamos riesgos de staking y lending y definimos disclosures para inversionistas.
- Mapeamos risk por línea de business y grado de adoption.
- Establecemos criterios de investment y suitability con límites y diversificación.
- Revisamos services tercerizados: SLAs, SOC/ISO y evidencias contractuales.
| Área | Control clave | Evidencia mínima | Métrica |
|---|---|---|---|
| Custodia | Segregación y control de llaves | Conciliaciones, registros de acceso | Pruebas diarias |
| Payments | Conciliación near-instant | Logs de transacciones, report | Latencia y tasa de éxito |
| Wealth | Gestión de productos y riesgos | Políticas de investment y disclosures | Rendimiento vs benchmark |
Proponemos tableros de management para seguimiento de remediaciones y hallazgos. Así facilitamos due diligence y readiness ante transacciones y trends del mercado local.
Tax y regulatory: preparación documental, reportes y materialidad
Fortalecimos reconciliaciones y reportes para asegurar materialidad y trazabilidad en cada movimiento on‑chain y off‑chain.
En EE. UU. las agencias —DOJ, SEC y OFAC— intensificaron el escrutinio y exigen alineación con BSA y guías vigentes. Por eso diseñamos un esquema documental que soporte posiciones fiscales sobre assets y digital assets.
Establecemos un process de conciliación y report periódico, con responsable de management y revisiones cruzadas. Alineamos políticas a un framework aplicable y a las expectativas de compliance y guidance en evolución.
- Cubrimos materialidad: umbrales, impacto en estados financieros e implicaciones tributarias.
- Solicitamos soportes de cálculo, cronologías y autorizaciones para las companies.
- Integramos evidencia blockchain cuando respalda bases, costos y registros.
- Priorizamos focus y efforts en sanctions, IVA, renta y retenciones según la operación.
- Recomendamos pruebas internas y revisiones de terceros para sostener posiciones ante auditorías.
Así reducimos riesgo fiscal y mejoramos readiness frente a acciones regulatorias en el ecosistema crypto.
Deal activity y transacciones: M&A, IPO, SPAC y readiness de compliance
Las operaciones sobre digital assets requieren una preparación que combine estrategia financiera y controles operativos. Planificamos cada deal para capturar valor y mitigar exposición regulatoria.
Build vs. buy vs. partner: defensivo y ofensivo
Evaluamos build, buy o partner según sinergias, time-to-market y CAPEX/OPEX. Esta decisión condiciona oportunidades de growth y la velocidad de integración en el industry.
- Diseñamos due diligence integral: compliance, técnico, financiero y legal, con foco en exposure a enforcement.
- Analizamos impacto en access a mercados, relaciones con exchanges y proveedores críticos.
- Definimos métricas de éxito y governance para TSA, SLAs y seguimiento de hitos.
| Criterio | Implicación | Métrica | Responsabilidad |
|---|---|---|---|
| Sinergias operativas | Reducción de costos y duplicidades | Reducción CAPEX/OPEX (%) | VP Operations |
| Riesgo regulatorio | Exposición a sanciones y remediaciones | Incidentes por trimestre | Chief Compliance |
| Captura de valor | Integración de products y services | Aumento de revenue por asset | Head of Business |
De auditoría a ventaja competitiva: aprendizajes que nos impulsan a seguir
Transformamos hallazgos regulatorios en procesos replicables que aceleran la toma de decisiones y mejoran la response frente a examinadores.
Sintetizamos insights accionables para crear value sostenible. Nuestro management por datos y riesgos reduce tiempos y sostiene confianza en el mercado.
Priorizamos focus en controles probados, resiliencia operativa y transparencia para impulsar growth responsable.
Vemos opportunities para monetizar capacidades de cumplimiento como diferenciador comercial. Proponemos roadmaps plurianuales (years) para madurar controles, talento y tecnología sobre assets y digital assets.
Integramos blockchain analytics como parte del tejido operativo. Cerramos con compromisos medibles y seguimiento continuo para sostener ventaja en el sector y la industry.
