Cómo lanzar una empresa fintech: licenciamiento, banca e infraestructura

Lo que necesita para lanzar una empresa fintech

Una empresa fintech en 2026 necesita cinco componentes interconectados: una entidad operativa regulada en la jurisdicción de licenciamiento, capital inicial suficiente conforme al régimen elegido, una autorización de entidad de pago o de entidad de dinero electrónico, un acuerdo bancario operativo y de salvaguarda, y una estructura de compliance activa que cubra AML/CFT, DORA y el reporte bajo PSD2.

En la jurisdicción de licenciamiento, la entidad operativa suele ser una sociedad de responsabilidad limitada. La forma societaria varía: una osaühing (OÜ) en Estonia, una sociedad de responsabilidad limitada en Chipre, una private limited company en el Reino Unido, una sociedad de zona franca en Abu Dabi o Dubái, una sociedad de Columbia Británica, de Ontario o federal en Canadá o una proprietary limited company en Australia. La estructura de capital debe reflejar tanto el mínimo exigido por el regulador como el requisito continuo de fondos propios previsto en PSD2, artículo 9, o en la norma nacional equivalente.

El licenciamiento es la puerta de entrada. Dentro de la UE, las autorizaciones relevantes son PI conforme a PSD2 (Directiva (UE) 2015/2366) y EMI conforme a EMD2 (Directiva 2009/110/CE). En el Reino Unido, los equivalentes son PI autorizada y EMI autorizada conforme a las Payment Services Regulations 2017 y las Electronic Money Regulations 2011, respectivamente. Fuera de Europa, las vías divergen notablemente: los Emiratos Árabes Unidos cuentan con tres reguladores (CBUAE para el ámbito onshore, la Financial Services Regulatory Authority del ADGM y la Dubai Financial Services Authority del DIFC); Canadá opera dos regímenes paralelos (FINTRAC para el registro como money services business y el Bank of Canada conforme a la Retail Payment Activities Act); Australia regula a través de AUSTRAC en materia de remesas y se encuentra en plena reforma respecto de las stored-value facilities y los servicios de pago.

La banca suele ser una restricción práctica determinante, pero una empresa fintech necesita una cuenta operativa para su propia tesorería y un mecanismo legal de salvaguardia para los fondos de clientes: segregación, o un seguro o una garantía comparable, conforme al artículo 10 de PSD2 y al artículo 7 de la EMD2, como se expone más adelante en «Requisitos de licenciamiento».^[1][2]

Cuando se elige la segregación en una entidad de crédito, según nuestra experiencia, la carta de reconocimiento de la salvaguardia es el documento que con mayor frecuencia determina si la autorización se obtiene dentro del calendario previsto. Las vías de activos seguros y de seguro o garantía exigen sus propias pruebas equivalentes.

El capital debe estar desembolsado antes de la presentación de documentos. Conforme al artículo 7 de PSD2, el capital inicial de un PI es de 20.000 € (solo envío de dinero), 50.000 € (solo servicios de iniciación de pagos) o 125.000 € (servicios 1 a 5 del anexo I de PSD2). El capital inicial de un EMI es de 350.000 € conforme al artículo 4 de EMD2.

Los fondos propios continuados varían según la actividad. Una PI utiliza el método A, B o C de PSD2 seleccionado por la autoridad competente. Una EMI utiliza el método D de la EMD2, equivalente al 2% del promedio de dinero electrónico en circulación, y añade el requisito calculado por separado para servicios de pago no relacionados. El total exigido es, como mínimo, la suma de esos componentes, sujeto al mínimo de capital inicial y a cualquier ajuste supervisor permitido.^[1][2]

El compliance continuo es el gasto operativo permanente. Dentro de la UE, las normas de conducta y reporte de PSD2, la Travel Rule de la UE conforme al Reglamento (UE) 2023/1113 (cuando la entidad intermedia transferencias de criptoactivos), el Reglamento AML (Reglamento (UE) 2024/1624) cuando se aplique con carácter general desde el 10 de julio de 2027, y DORA conforme al Reglamento (UE) 2022/2554 (aplicable desde el 17 de enero de 2025) operan en paralelo. La FCA del Reino Unido gestiona un perímetro equivalente conforme a los EMRs, los PSRs y el FCA Handbook.

Los solicitantes experimentados que utilizan la segregación en una entidad de crédito comienzan las conversaciones con el banco de salvaguardia en paralelo con el expediente de licencia, no después, porque un regulador que formule una solicitud de información sobre esa vía seleccionada no cerrará el expediente con una respuesta de “por confirmar”. En su lugar, los solicitantes que eligen activos seguros, un seguro o una garantía comparable preparan las pruebas equivalentes de custodia, admisibilidad, póliza o garantía. La secuencia de dependencias es el elemento diferenciador.

La constitución se realiza primero, pero el capital puede desembolsarse en paralelo con el nombramiento de los administradores. Las pruebas del método de salvaguardia seleccionado deben adelantarse antes de inmovilizar el capital.

Lista de comprobación de infraestructura

Elegir la jurisdicción adecuada

La elección de la jurisdicción determina el marco regulatorio, el requisito de capital, el acceso al mercado, el tratamiento fiscal societario y el plazo realista de licenciamiento. Para una empresa fintech, las variables clave son el pasaporte europeo en la UE (o su ausencia), la distinción entre una autorización prudencial completa y un registro de tipo AML, y el peso relativo de las normas de salvaguarda en la evaluación de onboarding del regulador de origen.

Seis jurisdicciones cubren el conjunto creíble de opciones habituales para un fundador fintech que opera en la UE, el Reino Unido, Oriente Medio, Norteamérica o APAC.

Dentro de la UE, Estonia y Chipre ofrecen autorización PSD2/EMD2 con pasaporte europeo pleno en el EEE (los 27 Estados de la UE más Islandia, Liechtenstein y Noruega)^[28] conforme al artículo 28 de PSD2 y al artículo 3 de la EMD2; los umbrales mínimos de capital están armonizados en la UE, y la guía de licenciamiento EMI compara sus plazos con los de los Estados miembros más grandes.^[1][2]

En Islandia, Liechtenstein y Noruega, la EMD2 se aplica en virtud de la Decisión del Comité Mixto del EEE 120/2010, en vigor desde el 1 de noviembre de 2012, y la PSD2 en virtud de la JCD 165/2019, en vigor desde el 1 de mayo de 2022; la JCD 41/2025 incorpora MiCA y no rige las licencias de pago.^[25][28]

Con arreglo a las Electronic Money Regulations 2011 y a las Payment Services Regulations 2017, la FCA del Reino Unido opera un régimen comparable, pero tras el Brexit no dispone de pasaporte de la UE. En los Emiratos Árabes Unidos operan tres reguladores con tres marcos distintos.

Canadá y Australia aplican regímenes de registro anclados en AML sin exigencia prudencial mínima de capital, adecuados para modelos centrados en remesas más que para la emisión de dinero electrónico.

La cuestión del umbral de credibilidad es más aguda para el fintech que para el cripto. Un exchange de criptoactivos puede canalizarse hacia una licencia de VASP extraterritorial y operar desde una jurisdicción caribeña o del océano Índico. Una fintech que emite dinero electrónico no puede: la emisión de dinero electrónico exige autorización en una jurisdicción con un marco equivalente al de las EMI, y las jurisdicciones creíbles que emiten licencias de EMI se concentran en la UE/EEE, el Reino Unido, las zonas francas de los Emiratos Árabes Unidos y un puñado de centros comparables. Canadá y Australia dan cabida a los servicios de pago, pero no emiten una licencia de dinero electrónico en el sentido europeo.

Comparativa de jurisdicciones para el licenciamiento fintech

Elija Estonia si el equipo tiene, o va a crear, una presencia operativa sustancial en Estonia y le importa el modelo de tributación de los beneficios distribuidos. La Finantsinspektsioon es selectiva y tarda de 15 a 24 meses en una autorización de EMI o PI, el capital de licenciamiento se sitúa en el mínimo de PSD2/EMD2 y la estructura del impuesto de sociedades (22/78 sobre las distribuciones) deja los beneficios no distribuidos sin tributación a nivel de la entidad. Consulte la guía completa de licenciamiento en Estonia para el detalle operativo.

Elija Chipre si la prioridad es una base mediterránea con infraestructura profesional de habla inglesa y acceso a un regulador que ha desarrollado activamente capacidad en EMI desde 2018. El registro de EMI del Banco Central de Chipre del 28 de septiembre de 2026 recoge 32 EMI con licencia, ocho de ellas con licencia desde enero de 2025, lo que indica un flujo activo y no un canal cerrado. El tipo del 15% del impuesto de sociedades (a partir del 1 de enero de 2026) es la cifra publicada; la economía efectiva depende también de los gravámenes sobre dividendos, la contribución del 2,65% al General Healthcare System y, para los accionistas residentes domiciliados, la Contribución Especial de Defensa del 5% sobre los dividendos procedentes de beneficios de 2026.^[33]

Elija el Reino Unido si el mercado objetivo está denominado en libras esterlinas y el valor de una marca institucional con sello FCA compensa la pérdida del pasaporte europeo de la UE. La FCA aplica uno de los regímenes de pagos de más larga trayectoria, con amplia orientación publicada en su Approach Document,^[24] y las categorías de Small EMI y Small PI ofrecen un punto de partida de baja fricción para operadores en fase inicial: una Small PI se sitúa en el umbral de 3 millones de € de media mensual en operaciones de pago o por debajo de él, y una Small EMI con un máximo de 5 millones de € de dinero electrónico medio en circulación.

Frente a ello existe una contrapartida real: una EMI del Reino Unido no puede prestar servicios a clientes de la UE mediante pasaporte europeo, porque las firmas británicas perdieron el pasaporte europeo de la UE cuando el período transitorio del Brexit finalizó el 31 de diciembre de 2020. El régimen de permisos temporales es un mecanismo distinto, y operaba en sentido contrario: cubría a las firmas del EEE que entraban a operar en el Reino Unido.

Elija los EAU si el mercado objetivo es la región MENA, la creciente población de corredores de remesas de los EAU o la base de clientes institucionales atendida desde ADGM y DIFC. Los tres reguladores no son intercambiables: los pagos minoristas onshore y la actividad de valor almacenado corresponden al Banco Central de los EAU; ADGM y DIFC otorgan autorizaciones de servicios financieros a las entidades domiciliadas en esas zonas francas, con normas de capital y de conducta fijadas en el reglamento de cada regulador. El impuesto federal de sociedades es del 9% sobre la renta imponible superior a 375.000 AED para los contribuyentes ordinarios; una Qualifying Free Zone Person que cumpla los requisitos de sustancia económica y las demás condiciones tributa al 0% sobre las rentas cualificadas y al 9% sobre el resto de la renta imponible.

Elija Canadá si el modelo se centra en remesas, en servicios monetarios transfronterizos o en el corredor Estados Unidos-Canadá. Los requisitos de gestión de riesgos y de salvaguarda de fondos de la RPAA se aplican desde el 8 de septiembre de 2025, y el 29 de septiembre de 2026 el registro del Banco de Canadá recogía 1.679 PSP registrados, alrededor del 85% con sede en Canadá y el 9% en Estados Unidos, además de 446 solicitudes en revisión.^[34] La ausencia de un requisito de capital mínimo es real; las obligaciones de salvaguarda, gestión de riesgos y respuesta a incidentes del marco RPAA, no.

Elija Australia si el modelo consiste en remesas, transferencia de dinero o pagos centrados en APAC sin emisión de dinero electrónico. AUSTRAC opera un régimen basado en el registro conforme a la AML/CTF Act 2006, sin capital mínimo. La reforma de Modernización del Sistema de Pagos del Treasury se encuentra en fase de borrador: el borrador legislativo completo del Tranche 1 se publicó el 12 de marzo de 2026, con cierre de la consulta el 9 de abril de 2026. Según ese borrador, el nuevo marco de instrumentos de valor almacenado y servicios de pago entraría en vigor 12 meses después del Royal Assent, seguido de un período transitorio por defecto de un mes para los titulares actuales de licencias de NCP facilities y de seis meses para los demás proveedores.

Constitución de su sociedad

La constitución de sociedades para una fintech es el primer paso operativo, porque cada componente posterior (capital, solicitud de licencia, banca) requiere una entidad registrada. El error de constitución más frecuente consiste en constituir la sociedad en una jurisdicción optimizada fiscalmente que no alberga al regulador de licenciamiento elegido, y afrontar después una reestructuración una vez abierto el expediente.

Los tipos de entidad varían según la jurisdicción. Estonia utiliza la osaühing (OÜ); Chipre utiliza la sociedad de responsabilidad limitada; el Reino Unido utiliza la private limited company conforme a la Companies Act 2006; los Emiratos Árabes Unidos utilizan sociedades de zona franca en ADGM o DIFC para las autorizaciones de servicios financieros correspondientes, o una LLC de mainland cuando la actividad está regulada onshore por el CBUAE; Canadá utiliza una sociedad federal conforme a la Canada Business Corporations Act o una sociedad provincial; Australia utiliza una proprietary limited company conforme a la Corporations Act 2001.

La práctica en materia de capital social varía notablemente: Estonia y Chipre admiten que las aportaciones se desembolsen antes de que avance el expediente de licencia; los Emiratos Árabes Unidos suelen exigir que el capital exigido para el licenciamiento esté desembolsado antes de presentar la solicitud de licencia.

La sustancia económica de los consejeros y de la administración importa más en el ámbito fintech que en muchas otras actividades reguladas, porque los reguladores evalúan la profundidad de la gestión de riesgos de la empresa como parte de la revisión de la autorización. Los reguladores del Estado de origen conforme a PSD2 en la UE aplican evaluaciones fit and proper a los consejeros y a los accionistas significativos, y aplican pruebas de sustancia económica a la función de administración: un domicilio social efectivamente ocupado, una dirección ejecutiva efectivamente residente, un MLRO efectivamente responsable en la jurisdicción. El marco de los Emiratos Árabes Unidos aplica estándares equivalentes de sustancia económica y residencia. En Australia, una proprietary company necesita al menos un consejero que resida habitualmente en el país, y el responsable de compliance AML/CTF debe ser residente en Australia cuando los servicios se presten a través de un establecimiento permanente en Australia. Los registros canadienses no imponen un requisito de residencia equivalente: FINTRAC y el Bank of Canada también registran empresas de servicios monetarios y proveedores de servicios de pago extranjeros, y la residencia de los consejeros depende de la ley de constitución aplicable (la CBCA federal exige que al menos una cuarta parte de los consejeros, o uno cuando haya menos de cuatro, sean residentes canadienses; Columbia Británica y Ontario no establecen ninguna norma de residencia).

Panorama de constitución por jurisdicción

La e-Residency en Estonia resulta operativamente útil para los fundadores no residentes que gestionan la entidad a distancia; no sustituye la presencia efectiva que el regulador espera de la función de administración durante el expediente de licencia. Interponer una entidad holding en una jurisdicción que el regulador de origen trate después como matriz indirecta a efectos de la evaluación de sustancia económica es el error habitual de constitución, y añade de tres a seis meses en plena tramitación.

Una estructura más simple (entidad operativa en la jurisdicción de licenciamiento, una capa de holding por encima, sustancia económica en ambos lugares) supera la mayoría de las revisiones fit and proper.

Requisitos de licenciamiento

La autorización de una fintech en la UE depende de sus actividades reguladas y de las exclusiones aplicables. Las entidades de pago (PI) siguen PSD2 (Directiva (UE) 2015/2366); las entidades de dinero electrónico (EMI), EMD2 (Directiva 2009/110/CE). Las entidades de crédito también pueden prestar estos servicios, y los proveedores exclusivamente AIS se registran conforme al artículo 33 de PSD2. El capital inicial va de 20.000 € (PI, solo envío de dinero), pasando por 125.000 € (PI, servicios 1 a 5), hasta 350.000 € (EMI). Fuera de la UE, la vía depende del marco de la jurisdicción.

EMI frente a PI. Una entidad de pago puede prestar cualquiera de los ocho servicios de pago del anexo I de PSD2, pero no puede emitir dinero electrónico. Una entidad de dinero electrónico puede emitir dinero electrónico y, además, puede prestar todos los servicios de pago. La lista cerrada del anexo I comprende los servicios que permiten el ingreso de efectivo en una cuenta de pago, los servicios que permiten la retirada de efectivo de una cuenta de pago, la ejecución de operaciones de pago, la ejecución de operaciones de pago cubiertas por una línea de crédito, la emisión o adquisición de instrumentos de pago, el envío de dinero, los servicios de iniciación de pagos y los servicios de información sobre cuentas.

La elección de licencia depende de la actividad jurídica, no del nombre del producto. Un monedero o tarjeta prepago constituye dinero electrónico solo si cumple todos los elementos del artículo 2(2) de EMD2 y no se aplica ninguna exclusión; puede emitirlo una EMI o entidad de crédito. Los servicios de pago como envío de dinero, iniciación de pagos y adquisición requieren el permiso PSD2 correspondiente salvo exclusión; los proveedores exclusivamente AIS se registran conforme al artículo 33. Una vez en vigor, PSD3 integrará las categorías EMI y PI en un único marco de entidades de pago, con la emisión de dinero electrónico como subservicio autorizado.

Capital y fondos propios. Conforme al artículo 7 de PSD2, el capital inicial de una PI es de 20.000 € únicamente para el envío de dinero (servicio 6), 50.000 € únicamente para la iniciación de pagos (servicio 7) y 125.000 € para cualquiera de los servicios 1 a 5; el artículo 9 de PSD2 aplica después el método A, B o C seleccionado por el supervisor. Conforme a los artículos 4 y 5 de la EMD2, el capital inicial de una EMI es de 350.000 € y los fondos propios para la emisión utilizan el método D, equivalente al 2% del promedio de dinero electrónico en circulación.^[1][2]

Una EMI híbrida añade el requisito para servicios de pago no relacionados: el requisito continuado es, como mínimo, la suma del método D y ese componente de PSD2, y siguen siendo aplicables el mínimo de capital inicial y los ajustes supervisores permitidos.^[1][2]

Conforme al texto de compromiso del Consejo de abril de 2026, los mínimos del proyecto de artículo 5 de PSD3 son 40.000 € únicamente para el punto 5 del anexo I, 50.000 € para el punto 6, 150.000 € para los puntos 1 a 5, sujeto a la excepción aplicable únicamente al punto 5, y 250.000 € para el punto 8. Un proveedor que abarque más de una categoría debe sumar los mínimos aplicables. Estos valores del proyecto legislativo no sustituyen el Derecho vigente hasta que se completen las etapas legislativas y de aplicación nacional.^[13]

Salvaguardia. Conforme al método de segregación del artículo 10 de PSD2, los fondos que aún se mantengan al final del día hábil siguiente a su recepción se depositan en una cuenta separada en una entidad de crédito o un banco central admisible, o se invierten en activos seguros, líquidos y de bajo riesgo admisibles, y no deben mezclarse con fondos de otras personas. La alternativa es un seguro o una garantía comparable de un proveedor ajeno al grupo por un importe equivalente, que debe ser pagadero si la empresa no puede cumplir sus obligaciones financieras.^[1][2]

La opción del banco central está condicionada en la práctica: conforme al artículo 3 de la Decisión del ECB (UE) 2025/222, los bancos centrales del Eurosystem no ofrecen cuentas de salvaguarda a proveedores de servicios de pago no bancarios ni a CASP. La elegibilidad para una cuenta de liquidación TARGET no modifica esa restricción.^[36]

El artículo 7 de la EMD2 traslada esos métodos a la salvaguardia del dinero electrónico, sujeto a la selección nacional del método. Los fondos recibidos mediante un instrumento de pago pueden esperar hasta que lleguen a la cuenta de pago de la EMI o estén disponibles para ella de otro modo, pero deben quedar salvaguardados como máximo cinco días hábiles después de la emisión del dinero electrónico.^[1][2]

Cuando se elige la vía de una cuenta en una entidad de crédito, el regulador examina la carta de reconocimiento; la ley no hace universal esa vía.^[1][2]

En el Reino Unido, el Payments and Electronic Money (Safeguarding) Instrument 2025 (FCA 2025/38) se aplica desde el 7 de mayo de 2026 y prescribe la conciliación diaria y la forma de la carta de reconocimiento de salvaguarda.

Pasaporte europeo y modelo de agente. Una PI o EMI autorizada en la UE obtiene el pasaporte en todo el EEE conforme al PSD2, artículo 28 / EMD2, artículo 3 mediante notificación al regulador de origen. El PSD2, artículo 19 permite a una PI prestar servicios de pago a través de agentes en su nombre; el EMD2, artículo 3(5) extiende esta posibilidad a los agentes de una EMI para servicios de pago no relacionados con la emisión de dinero electrónico.

Los agentes y distribuidores no pueden emitir dinero electrónico por sí mismos: solo la EMI principal puede emitirlo. El registro del agente ante el regulador de origen suele tardar entre dos y tres meses desde la presentación de documentos. Para una fintech en fase inicial que quiere operar antes de obtener su propia licencia, el modelo de agente es la vía habitual para acortar el plazo de salida al mercado.

MiCA y tokens de dinero electrónico. Conforme al artículo 48(1) de MiCA, solo las entidades de crédito y las EMI pueden emitir tokens de dinero electrónico; el artículo 48(2) establece que los tokens de dinero electrónico se consideran dinero electrónico.^[22]

El dictamen EBA/Op/2025/08 de la EBA, del 10 de junio de 2025, es una orientación supervisora no vinculante que no modifica ni PSD2 ni MiCA. Trata determinados servicios de EMT como servicios de pago de PSD2, a saber, transferir EMT por cuenta de clientes y gestionar monederos de custodia desde los que los clientes pueden recibir EMT de terceros y enviarlos a terceros; el intercambio y la intermediación en la compra quedan fuera, y una EMI puede notificar la custodia y la transferencia de sus propios EMT emitidos conforme al artículo 60(4) de MiCA.

Cuando se requieren autorizaciones separadas como CASP y como PI o EMI, los requisitos de capital pertinentes del artículo 67 de MiCA y de PSD2 o la EMD2 se aplican de forma acumulativa; una entidad que utiliza la vía de notificación del artículo 60 está exenta del artículo 67 en virtud del artículo 60(10).^[12]

El dictamen de seguimiento del 12 de febrero de 2026, igualmente no vinculante, fijó las expectativas supervisoras para el final, el 2 de marzo de 2026, de la transición de la No-Action Letter de la EBA: cuando se aplica PSD2, un CASP que presta esos servicios de EMT necesita su propia autorización como PI o EMI, o un acuerdo de agencia o de colaboración con un proveedor de servicios de pago autorizado, y cualquier continuidad sin ella depende de las condiciones que fije la autoridad nacional competente y no de la mera presentación de una solicitud.

Incluso una transferencia first-party de EMT por cuenta de un cliente puede quedar incluida, sea o no el monedero una cuenta de pago.^[12]

Un fundador que desarrolla una stablecoin en euros utiliza la vía del EMT conforme al artículo 48 de MiCA: el emisor debe ser una entidad de crédito o una EMI. Notifica el white paper al menos 20 días hábiles antes de su publicación conforme al artículo 51, en lugar de solicitar una autorización independiente adicional del título IV.^[22]

Por separado, el emisor notifica su intención de ofrecer el EMT o solicitar su admisión a negociación con al menos 40 días hábiles de antelación conforme al artículo 48, apartado 6. Las exenciones limitadas de la EMD2 preservadas por el artículo 48, apartados 4 y 5, no eliminan el requisito del white paper del artículo 48, apartado 7.^[22]

Vías de licenciamiento fuera de la UE. Fuera de la UE, las rutas divergen:

• Reino Unido: el régimen de la FCA reproduce en sustancia PSD2 mediante las Electronic Money Regulations 2011 y las Payment Services Regulations 2017, con la diferencia práctica de que no existe pasaporte de la UE y de que la FCA gestiona las categorías de Small EMI y Small PI, situándose una Small PI en el umbral de 3 millones de € de media mensual de operaciones de pago o por debajo de él y una Small EMI con un máximo de 5 millones de € de dinero electrónico medio en circulación.
• Emiratos Árabes Unidos: se aplican tres reguladores. El Central Bank of the UAE cubre los servicios de pago minoristas onshore (RPSCS Circular 15/2021, capital inicial de 100.000 AED a 3 millones AED según la categoría de licencia y el volumen de pagos) y las stored-value facilities (SVF Circular 6/2020, capital social desembolsado de al menos 15 millones AED); la ADGM Financial Services Regulatory Authority gestiona las autorizaciones de Money Services Business (Categoría 3C, capital base de 250.000 USD); y la DIFC Dubai Financial Services Authority emite las autorizaciones de Providing Money Services y Stored Value Issuer (Categoría 3D, 200.000 USD, y, para la emisión de valor almacenado, Categoría 3C, 500.000 USD; la transmisión de dinero por sí sola corresponde a la Categoría 4, con 140.000 USD, y el asesoramiento o la intermediación, con 30.000 USD).^[35]
• Canadá: se aplican dos regímenes paralelos. El registro MSB ante FINTRAC se rige por la Proceeds of Crime (Money Laundering) and Terrorist Financing Act, y el registro PSP ante el Bank of Canada se rige por la Retail Payment Activities Act, cuyos requisitos de gestión de riesgos y de salvaguarda de fondos se aplican desde el 8 de septiembre de 2025, con una tasa única de solicitud de registro de 2.500 CAD (base de noviembre de 2024, indexada anualmente según la variación del IPC general de Canadá de septiembre, conforme al art. 25(1) RPAR).
• Australia: AUSTRAC regula la actividad de remesas y transferencia de dinero conforme a la AML/CTF Act 2006, y la reforma Payments System Modernisation del Tesoro propone un nuevo marco de SVF y de servicios de pago; según el borrador de marzo de 2026, entraría en vigor 12 meses después del Royal Assent, con un período transitorio adicional por defecto de uno o seis meses.

Para consultar la página de categoría completa sobre EMI e instituciones de pago, véase la guía de licenciamiento de EMI y de pagos. Las condiciones del Brexit en la vía del Reino Unido se tratan en la visión general del licenciamiento.

Banca

La banca es el componente más subestimado del lanzamiento de una fintech. Una fintech con licencia necesita dos acuerdos bancarios distintos: un acuerdo de salvaguarda para los fondos de clientes y una cuenta operativa para la tesorería propia de la firma. La salvaguarda es la puerta que controla el regulador; el lado operativo es la autonomía financiera de la firma.

La cuestión de la salvaguardia es la restricción determinante, no la cuestión operativa. De los métodos legales expuestos en «Requisitos de licenciamiento», la segregación en una entidad de crédito es el que sitúa a un banco en la ruta crítica, y una entidad de crédito solo emite la carta de reconocimiento para la estructura de cuenta seleccionada.^[1][2]

Cuando se elige la segregación en una entidad de crédito, el cierre de la sección de salvaguardia depende de esa carta: un borrador no es suficiente; el regulador exige el documento formalizado. Los demás métodos seleccionados exigen sus correspondientes pruebas finales.

En el Reino Unido, el instrumento FCA 2025/38 (aplicable desde el 7 de mayo de 2026) prescribe la forma de la carta, la conciliación diaria y una auditoría anual de salvaguarda, salvo que la entidad no haya tenido que salvaguardar más de 100.000 £ en ningún momento durante al menos 53 semanas (SUP 3A.1.1R(2)).^[14]

La tesorería, las nóminas, el FX y los pagos a proveedores se sitúan en la capa bancaria operativa. Una fintech con licencia en la UE suele mantener cuentas operativas en una o dos entidades de crédito y utiliza un proveedor de tipo EMI para el FX y la liquidación multidivisa.

La adhesión al esquema SEPA y el acceso a la liquidación son pasos separados: una EMI o PI se adhiere al esquema SEPA Credit Transfer y, por separado, al esquema SEPA Instant Credit Transfer, conforme al rulebook correspondiente del European Payments Council, y después llega a otros participantes, directa o indirectamente, a través de uno o varios mecanismos de compensación y liquidación de su elección. TIPS no es necesario para la participación ordinaria en SEPA Credit Transfer; para los pagos instantáneos, las normas de accesibilidad (reachability) aplicables, incluidos los requisitos de TIPS, se aplican a su propia población de proveedores con independencia de la vía de liquidación elegida. La mayoría de las EMI y PI acceden a los esquemas indirectamente a través de un banco patrocinador para la compensación y la liquidación.^[26]

La banca corresponsal y un SWIFT BIC resultan relevantes para los flujos no SEPA: cada vez más escasos tras el ciclo global de de-risking de 2015–2025, pero obtenibles para entidades licenciadas con programas AML creíbles.

A través de la red de socios de Jagelski & Partners, en 2025 las empresas situaron más de catorce mil millones de euros de facturación de clientes en relaciones bancarias y con EMI. La colocación se gestiona como una precalificación en toda la red y no como solicitudes sucesivas: los analistas de la firma evalúan el perfil del cliente frente al apetito real de más de 90 entidades, identifican coincidencias creíbles tanto para el tramo de salvaguarda como para el operativo, y después presentan a un especialista independiente para que coordine la colocación en paralelo a la solicitud de licencia.

Según nuestra experiencia, los fundadores de fintech que obtienen una carta de salvaguarda antes de presentar el expediente acortan el camino hacia la autorización entre cuatro y diez semanas, porque la cuestión de la salvaguarda que plantea el regulador queda resuelta en el momento de la lectura del expediente, y no después.

Jagelski & Partners recibe su remuneración de la institución, no del cliente. No cobramos comisión de onboarding. Los precios que figuran en la documentación de apertura de cuenta del cliente son la tarifa institucional. No se aplica ningún recargo sobre los precios institucionales.

Compliance continuo

El compliance continuo es un gasto operativo permanente, no un evento único de licenciamiento. Para una EMI o PI autorizada en la UE, el perímetro de compliance abarca AML/CFT, la conducta y los reportes bajo PSD2, la auditoría de salvaguarda, la gestión de reclamaciones, las notificaciones de pasaporte europeo y DORA. La horquilla anual realista para una EMI de tamaño medio se sitúa entre 1,0 millones € y 2,0 millones €.

AML/CFT. Las PI y las EMI de la UE son sujetos obligados en virtud de la cuarta Directiva contra el blanqueo de capitales (Directiva (UE) 2015/849, modificada por la quinta, la Directiva (UE) 2018/843), tal como se ha transpuesto en cada Estado. Desde el 10 de julio de 2027 se aplica con carácter general el nuevo Reglamento AML, Reglamento (UE) 2024/1624. La mayor parte de AMLD6 (Directiva (UE) 2024/1640) debe transponerse en esa misma fecha; las excepciones son las modificaciones de su artículo 74 al acceso a la información sobre titularidad real en virtud de la cuarta Directiva, que debían transponerse a más tardar el 10 de julio de 2025, sus normas de acceso a los registros de titulares reales (artículos 11 a 13 y 15), con plazo hasta el 10 de julio de 2026, y su punto de acceso único a la información sobre bienes inmuebles (artículo 18), con plazo hasta el 10 de julio de 2029.^[20]

Fráncfort acoge la autoridad europea de lucha contra el blanqueo de capitales (AMLA) en funcionamiento desde el 1 de julio de 2025. La función de MLRO es un nombramiento permanente de alta dirección, y el manual AML/CFT es un documento vivo que el regulador puede solicitar en cualquier momento.

Conducta y reporting bajo PSD2. Las Directrices de la EBA sobre notificación de fraude conforme a PSD2 (EBA/GL/2018/05, modificadas en 2020) rigen el ciclo de reporte estadístico de fraude; las directrices de PSD2 sobre notificación de incidentes graves (EBA/GL/2017/10, revisadas en 2021) quedaron derogadas el 17 de enero de 2025, cuando empezó a aplicarse la notificación armonizada de incidentes conforme a DORA.^[31] El Reglamento (UE) 2020/2011 del BCE (Estadísticas de pagos) impone un reporte estadístico armonizado a los PSP. Según el texto acordado del PSR, una vez que se aplique, los proveedores de servicios de pago tendrían que adherirse a mecanismos de intercambio de información sobre fraude (artículo 83a), y los consumidores obtendrían reembolsos cuando un fallo en la verificación del beneficiario haya provocado una transferencia defectuosa (artículo 57) o cuando alguien que se hacía pasar por su propio proveedor haya inducido un pago autorizado (artículo 59).^[32]

Auditoría de salvaguarda. Se aplica una auditoría independiente anual de salvaguarda cuando el régimen de origen la exige, como en Irlanda y el Reino Unido; la propia PSD2 no la impone. En el Reino Unido, el instrumento de la FCA FCA 2025/38 (aplicable desde el 7 de mayo de 2026) establece la conciliación diaria, la forma de la carta de reconocimiento de salvaguarda y una auditoría anual a cargo de un auditor cualificado, con una exención para las entidades que no hayan tenido que salvaguardar más de 100.000 £ en ningún momento durante al menos 53 semanas.^[14]

Resiliencia operativa. Desde el 17 de enero de 2025, el Digital Operational Resilience Act (Reglamento (UE) 2022/2554) es aplicable a las PI, las EMI, las entidades de crédito, las empresas de servicios de inversión y los CASP en virtud del artículo 2(1). DORA abarca la gestión del riesgo ICT, la notificación de incidentes (notificación inicial lo antes posible, dentro de las 4 horas siguientes a su clasificación como grave y normalmente no después de 24 horas desde que se tuvo conocimiento (si se clasifica después de ese plazo, dentro de las 4 horas siguientes a la clasificación) conforme al Reglamento Delegado (UE) 2025/301 de la Comisión), las pruebas de penetración basadas en amenazas cada tres años para las entidades significativas y el Registro de información sobre los acuerdos contractuales con terceros proveedores de ICT. La primera presentación del registro debía efectuarse el 30 de abril de 2025, y se repite anualmente conforme al Reglamento de Ejecución (UE) 2024/2956 de la Comisión, de 29 de noviembre de 2024 (ITS sobre el Registro de información).

Reclamaciones, pasaporte y comunicación prudencial. El artículo 101 de PSD2 y las Directrices de la EBA sobre la gestión de reclamaciones establecen el perímetro de las reclamaciones de clientes. Los cambios pertinentes en una notificación de pasaporte, incluidos agentes, sucursales o externalizaciones adicionales en un Estado de acogida, deben notificarse sin demora injustificada al regulador de origen conforme al artículo 28(4) de PSD2; el regulador de origen los transmite al regulador de acogida en el plazo de un mes y decide sobre el registro de un agente o una sucursal en el Estado de acogida en el plazo de tres meses.^[1][2]

Una PI informa con arreglo al requisito aplicable del método A, B o C y a su mínimo de capital inicial. Una EMI híbrida informa sobre el método D para la emisión más el importe separado de fondos propios para servicios de pago no relacionados, sujeto a su mínimo de capital inicial y a los ajustes supervisores.^[1][2]

Marco de costes anuales. El compliance es una fracción recurrente de los ingresos de la firma, no una partida de proyecto. Para una pequeña EMI que salvaguarda 50 millones de € de fondos de clientes, el presupuesto anual realista se sitúa entre 300.000 € y 500.000 €, repartidos entre el MLRO y la función de compliance, la auditoría de salvaguarda, los controles ICT bajo DORA y las tasas regulatorias.

Para un EMI de tamaño medio que salvaguarda 500 millones de €, la cifra se eleva a entre 1,0 millones de € y 2,0 millones de €. Con 5 mil millones de € o más de fondos de clientes salvaguardados, la cifra para un EMI grande supera los 5 millones de € e incluye equipos dedicados de segunda y tercera línea, un programa DORA completo y una posible supervisión directa de AMLA.

Plazos y costes realistas

De forma realista, los plazos completos desde la constitución hasta el lanzamiento operativo van de seis meses a más de dos años. Los honorarios profesionales se sitúan entre 40.000 € y 250.000 €, más el capital inicial y el colchón bancario. Según nuestra experiencia, la variación proviene de la jurisdicción, del grado de integridad del expediente en la primera presentación de documentos y de si la salvaguarda se tramita en paralelo con el licenciamiento o con posterioridad.

Cronograma integral y horquilla de costes

Lo que comprime el plazo: salvaguarda precalificada antes de inmovilizar el capital; documentación de compliance predactada (manual AML/CFT, políticas de gobernanza, nombramiento del MLRO); un expediente fit and proper limpio para consejeros y accionistas significativos; y un regulador elegido con un historial de tramitación publicado. Lo que lo amplía: la salvaguarda secuenciada después de la solicitud de licencia en lugar de en paralelo; un MLRO nombrado tarde; una estructura de sociedad matriz que el regulador de origen decide evaluar en cuanto a sustancia económica indirecta; y un alcance de producto sobredimensionado que activa varias autorizaciones de líneas de servicio a la vez.

Cifras con fecha de mayo de 2026 y expresadas en euros para las columnas de la UE/Reino Unido, en dólares estadounidenses para las columnas de los EAU, y en dólares canadienses y australianos para las columnas de Norteamérica y APAC respectivamente, cuando proceda.

Preguntas frecuentes

Referencias