Cómo lanzar una empresa fintech: licenciamiento, banca e infraestructura

Lo que necesita para lanzar una empresa fintech

Una empresa fintech en 2026 necesita cinco componentes interconectados: una entidad operativa regulada en la jurisdicción de licenciamiento, capital inicial suficiente conforme al régimen elegido, una autorización de entidad de pago o de entidad de dinero electrónico, un acuerdo bancario operativo y de salvaguarda, y una estructura de compliance activa que cubra AML/CFT, DORA y el reporte bajo PSD2.

En la jurisdicción de licenciamiento, la entidad operativa suele ser una sociedad de responsabilidad limitada. La forma societaria varía: una osaühing (OÜ) en Estonia, una sociedad de responsabilidad limitada en Chipre, una private limited company en el Reino Unido, una sociedad de zona franca en Abu Dabi o Dubái, una sociedad federal constituida conforme a la Canada Business Corporations Act o una proprietary limited company en Australia. La estructura de capital debe reflejar tanto el mínimo exigido por el regulador como el requisito continuo de fondos propios previsto en PSD2, artículo 9, o en la norma nacional equivalente.

El licenciamiento es la puerta de entrada. Dentro de la UE, las autorizaciones relevantes son PI conforme a PSD2 (Directiva (UE) 2015/2366) y EMI conforme a EMD2 (Directiva 2009/110/CE). En el Reino Unido, los equivalentes son PI autorizada y EMI autorizada conforme a las Payment Services Regulations 2017 y las Electronic Money Regulations 2011, respectivamente. Fuera de Europa, las vías divergen notablemente: los Emiratos Árabes Unidos cuentan con tres reguladores (CBUAE para el ámbito onshore, la Financial Services Regulatory Authority del ADGM y la Dubai Financial Services Authority del DIFC); Canadá opera dos regímenes paralelos (FINTRAC para el registro como money services business y el Bank of Canada conforme a la Retail Payment Activities Act); Australia regula a través de AUSTRAC en materia de remesas y se encuentra en plena reforma respecto de las stored-value facilities y los servicios de pago.

La banca es la restricción vinculante, no el licenciamiento. Una empresa fintech necesita dos estructuras bancarias distintas: una cuenta operativa para la tesorería propia de la firma (nóminas, pagos a proveedores, divisas) y un mecanismo de salvaguarda para los fondos de clientes. El artículo 10 de PSD2 y el artículo 7 de EMD2 establecen la regla de salvaguarda: los fondos de clientes mantenidos al cierre de la jornada deben segregarse en una entidad de crédito autorizada o estar cubiertos por una póliza de seguro o garantía comparable.

Según nuestra experiencia, la carta de salvaguarda, y no el expediente de licencia en sí, es el documento que determina si la autorización se obtiene en el plazo previsto.

El capital debe estar desembolsado antes de la presentación de documentos. Conforme al artículo 7 de PSD2, el capital inicial de un PI es de 20.000 € (solo envío de dinero), 50.000 € (solo servicios de iniciación de pagos) o 125.000 € (servicios 1 a 5 del anexo I de PSD2). El capital inicial de un EMI es de 350.000 € conforme al artículo 4 de EMD2.

Los fondos propios permanentes, calculados conforme al artículo 9 de PSD2 o al artículo 5 de EMD2 mediante el método A, B o C, deben ser iguales al importe más elevado entre el capital inicial y el requisito resultante del método aplicado.

El compliance continuo es el gasto operativo permanente. Dentro de la UE, las normas de conducta y reporte de PSD2, la Travel Rule de la UE conforme al Reglamento (UE) 2023/1113 (cuando la entidad intermedia transferencias de criptoactivos), el Reglamento AML (Reglamento (UE) 2024/1624) cuando se aplique en su totalidad desde el 10 de julio de 2027, y DORA conforme al Reglamento (UE) 2022/2554 (aplicable desde el 17 de enero de 2025) operan en paralelo. La FCA del Reino Unido gestiona un perímetro equivalente conforme a los EMRs, los PSRs y el FCA Handbook.

Los solicitantes con experiencia inician las conversaciones con el banco de salvaguarda en paralelo al expediente de licencia, no después, porque un regulador que abre un requerimiento de información sobre la sección de salvaguarda no cerrará el expediente con una respuesta de “pendiente de confirmar”. La secuencia de dependencias es el factor diferencial. La constitución va primero, pero el capital puede desembolsarse al mismo tiempo que se nombran los administradores. La precalificación de salvaguarda debe comenzar antes de que el capital quede bloqueado, porque las entidades solventes hacen el onboarding de los candidatos a autorización una vez que el expediente de solicitud está en la cola del regulador, no tras la concesión.

Lista de comprobación de infraestructura

Elegir la jurisdicción adecuada

La elección de la jurisdicción determina el marco regulatorio, el requisito de capital, el acceso al mercado, el tratamiento fiscal societario y el plazo realista de licenciamiento. Para una empresa fintech, las variables clave son el pasaporte europeo en la UE (o su ausencia), la distinción entre una autorización prudencial completa y un registro de tipo AML, y el peso relativo de las normas de salvaguarda en la evaluación de onboarding del regulador de origen.

Seis jurisdicciones abarcan el conjunto de opciones convencionales creíbles para un fundador fintech que opere en la UE, el Reino Unido, Oriente Medio, Norteamérica o APAC. Dentro de la UE, Estonia y Chipre ofrecen la autorización PSD2/EMD2 con pasaporte europeo completo en los 27 Estados de la UE conforme a PSD2, artículo 28, y EMD2, artículo 3, con un coste y un plazo notablemente inferiores a los de los Estados miembros más grandes. A los tres países EEE-EFTA (Islandia, Liechtenstein y Noruega) se accede sujeto al estado de vigencia de la JCD 41/2025.

Con arreglo a las Electronic Money Regulations 2011 y a las Payment Services Regulations 2017, la FCA del Reino Unido opera un régimen comparable, pero tras el Brexit no dispone de pasaporte de la UE. En los Emiratos Árabes Unidos operan tres reguladores con tres marcos distintos.

Canadá y Australia aplican regímenes de registro anclados en AML sin exigencia prudencial mínima de capital, adecuados para modelos centrados en remesas más que para la emisión de dinero electrónico.

La cuestión del umbral de credibilidad es más aguda para el fintech que para el cripto. Un exchange de criptoactivos puede canalizarse hacia una licencia de VASP extraterritorial y operar desde una jurisdicción caribeña o del océano Índico. Una fintech que emite dinero electrónico no puede: la emisión de dinero electrónico exige autorización en una jurisdicción con un marco equivalente al de las EMI, y las jurisdicciones creíbles que emiten licencias de EMI se concentran en la UE/EEE, el Reino Unido, las zonas francas de los Emiratos Árabes Unidos y un puñado de centros comparables. Canadá y Australia dan cabida a los servicios de pago, pero no emiten una licencia de dinero electrónico en el sentido europeo.

Comparativa de jurisdicciones para el licenciamiento fintech

Elija Estonia si la prioridad es el pasaporte europeo de la UE al mínimo creíble en coste y plazos. La Finantsinspektsioon es selectiva y tarda de 15 a 24 meses en una autorización de EMI o PI, el capital de licenciamiento se sitúa en el mínimo de PSD2/EMD2 y la estructura del impuesto de sociedades (22/78 sobre las distribuciones) deja los beneficios no distribuidos sin tributación a nivel de la entidad. Consulte la guía completa de licenciamiento en Estonia para el detalle operativo.

Elija Chipre si la prioridad es una base mediterránea con infraestructura profesional de habla inglesa y acceso a un regulador que ha desarrollado activamente capacidad en EMI desde 2018. A finales de 2024, el Banco Central de Chipre tenía en revisión aproximadamente treinta nuevas solicitudes de EMI junto con su cartera existente de 37 entidades, lo que indica un flujo activo y no un canal cerrado. El tipo del 15% del impuesto de sociedades (a partir del 1 de enero de 2026) es la cifra publicada; la economía efectiva depende de la aplicación de la tasa GHS.

Elija el Reino Unido si el mercado objetivo está denominado en libras esterlinas y el valor de una marca institucional con sello FCA compensa la pérdida del pasaporte europeo de la UE. La FCA es el regulador de pagos más maduro a escala mundial, con la guía publicada más extensa, y las categorías de Small EMI y Small PI ofrecen un punto de partida de baja fricción para operadores en fase inicial: una Small PI se sitúa por debajo del umbral de 3 millones de € de media mensual en operaciones de pago, y una Small EMI por debajo de 5 millones de € de dinero electrónico medio en circulación.

Frente a ello existe una contrapartida real: una EMI del Reino Unido no puede prestar servicios a clientes de la UE mediante pasaporte europeo, porque las firmas británicas perdieron el pasaporte europeo de la UE cuando el período transitorio del Brexit finalizó el 31 de diciembre de 2020. El régimen de permisos temporales es un mecanismo distinto, y operaba en sentido contrario: cubría a las firmas del EEE que entraban a operar en el Reino Unido.

Elija los EAU si el mercado objetivo es la región MENA, la creciente población de corredores de remesas de los EAU o la base de clientes institucionales atendida desde ADGM y DIFC. Los tres reguladores no son intercambiables: los pagos minoristas onshore y la actividad de valor almacenado corresponden al Banco Central de los EAU; ADGM y DIFC otorgan autorizaciones de servicios financieros a las entidades domiciliadas en esas zonas francas, con normas de capital y de conducta fijadas en el reglamento de cada regulador. Como contrapartida al impuesto federal de sociedades del 9%, se aplica el tratamiento del 0% en zona franca a las Qualifying Free Zone Persons que superen las pruebas de sustancia económica.

Elija Canadá si el modelo se centra en remesas, en servicios monetarios transfronterizos o en el corredor Estados Unidos-Canadá. Desde el 8 de septiembre de 2025, el registro RPAA ante el Banco de Canadá está operativo, con 320 PSP registrados a octubre de 2025, de los cuales el 80,9% tiene su sede en Canadá y el 13,4% en Estados Unidos. La ausencia de un requisito de capital mínimo es real; las obligaciones de salvaguarda, gestión de riesgos y respuesta a incidentes del marco RPAA, no.

Elija Australia si el modelo consiste en remesas, transferencia de dinero o pagos centrados en APAC sin emisión de dinero electrónico. AUSTRAC opera un régimen basado en el registro conforme a la AML/CTF Act 2006, sin capital mínimo. La reforma de Modernización del Sistema de Pagos del Treasury se encuentra en curso: el borrador legislativo del Tranche 1b se publicó el 12 de marzo de 2026, con cierre de la consulta el 9 de abril de 2026. Más adelante en 2026, el nuevo marco de instrumentos de valor almacenado y servicios de pago llegará al Parlamento, con una transición de 12 a 18 meses.

Constitución de su sociedad

La constitución de sociedades para una fintech es el primer paso operativo, porque cada componente posterior (capital, solicitud de licencia, banca) requiere una entidad registrada. El error de constitución más frecuente consiste en constituir la sociedad en una jurisdicción optimizada fiscalmente que no alberga al regulador de licenciamiento elegido, y afrontar después una reestructuración una vez abierto el expediente.

Los tipos de entidad varían según la jurisdicción. Estonia utiliza la osaühing (OÜ); Chipre utiliza la sociedad de responsabilidad limitada; el Reino Unido utiliza la private limited company conforme a la Companies Act 2006; los Emiratos Árabes Unidos utilizan sociedades de zona franca en ADGM o DIFC para las autorizaciones de servicios financieros correspondientes, o una LLC de mainland cuando la actividad está regulada onshore por el CBUAE; Canadá utiliza una sociedad federal conforme a la Canada Business Corporations Act o una sociedad provincial; Australia utiliza una proprietary limited company conforme a la Corporations Act 2001.

La práctica en materia de capital social varía notablemente: Estonia y Chipre admiten que las aportaciones se desembolsen antes de que avance el expediente de licencia; los Emiratos Árabes Unidos suelen exigir que el capital exigido para el licenciamiento esté desembolsado antes de presentar la solicitud de licencia.

La sustancia económica de los consejeros y de la administración importa más en el ámbito fintech que en muchas otras actividades reguladas, porque los reguladores evalúan la profundidad de la gestión de riesgos de la empresa como parte de la revisión de la autorización. Los reguladores del Estado de origen conforme a PSD2 en la UE aplican evaluaciones fit and proper a los consejeros y a los accionistas significativos, y aplican pruebas de sustancia económica a la función de administración: un domicilio social efectivamente ocupado, una dirección ejecutiva efectivamente residente, un MLRO efectivamente responsable en la jurisdicción. Los marcos de los Emiratos Árabes Unidos, Canadá y Australia aplican estándares equivalentes de sustancia económica y residencia.

Panorama de constitución por jurisdicción

La e-Residency en Estonia resulta operativamente útil para los fundadores no residentes que gestionan la entidad a distancia; no sustituye la presencia efectiva que el regulador espera de la función de administración durante el expediente de licencia. Interponer una entidad holding en una jurisdicción que el regulador de origen trate después como matriz indirecta a efectos de la evaluación de sustancia económica es el error habitual de constitución, y añade de tres a seis meses en plena tramitación.

Una estructura más simple (entidad operativa en la jurisdicción de licenciamiento, una capa de holding por encima, sustancia económica en ambos lugares) supera la mayoría de las revisiones fit and proper.

Requisitos de licenciamiento

Una empresa fintech que opera en la UE necesita bien una autorización de entidad de pago (PI) conforme a PSD2 (Directiva (UE) 2015/2366), bien una autorización de entidad de dinero electrónico (EMI) conforme a EMD2 (Directiva 2009/110/CE). El capital inicial oscila entre 20.000 € (PI, solo envío de dinero), pasando por 125.000 € (PI, servicios 1 a 5), hasta 350.000 € (EMI). Fuera de la UE, la vía depende del marco normativo de la jurisdicción.

EMI frente a PI. Una entidad de pago puede prestar cualquiera de los ocho servicios de pago del anexo I de PSD2, pero no puede emitir dinero electrónico. Una entidad de dinero electrónico puede emitir dinero electrónico y, además, puede prestar todos los servicios de pago. La lista cerrada del anexo I comprende los servicios que permiten el ingreso de efectivo en una cuenta de pago, los servicios que permiten la retirada de efectivo de una cuenta de pago, la ejecución de operaciones de pago, la ejecución de operaciones de pago cubiertas por una línea de crédito, la emisión o adquisición de instrumentos de pago, el envío de dinero, los servicios de iniciación de pagos y los servicios de información sobre cuentas.

La elección de la licencia depende del producto: un monedero electrónico que mantiene saldos de clientes emite dinero electrónico y, por tanto, requiere una EMI; una aplicación de envío de dinero que mueve fondos sin mantener saldos es una PI; un servicio de iniciación de pagos es una PI; un negocio de adquirencia de tarjetas es una PI. PSD3, una vez en vigor, fusionará las categorías EMI y PI en un marco único de entidad de pago, con la emisión de dinero electrónico como subservicio autorizado.

Capital y fondos propios. Conforme al artículo 7 de PSD2, el capital inicial de una PI es de 20.000 € si solo se presta el servicio de envío de dinero (servicio 6), de 50.000 € si solo se presta la iniciación de pagos (servicio 7), y de 125.000 € para cualquiera de los servicios 1 a 5. Conforme al artículo 4 de EMD2, el capital inicial de una EMI es de 350.000 €. Los fondos propios permanentes, calculados conforme al artículo 9 de PSD2 (métodos A, B o C) o al artículo 5 de EMD2, deben equivaler al importe más elevado entre el capital inicial y la cifra resultante del método aplicado.

El capital debe mantenerse como fondos propios; PSD3, cuando entre en vigor, indexará estos umbrales a 25.000 € / 50.000 € / 150.000 € / 400.000 €.

Salvaguarda. El artículo 10 de PSD2 y el artículo 7 de EMD2 exigen que los fondos de clientes mantenidos al cierre de la jornada se segreguen en una entidad de crédito autorizada mediante un régimen fiduciario, o bien queden cubiertos por una póliza de seguro o garantía comparable emitida por una aseguradora o entidad de crédito no vinculada. Que el regulador cierre el expediente depende de la carta de salvaguarda: una plantilla genérica adaptada de otra fintech no sobrevivirá al primer requerimiento de información.

En el Reino Unido, el Payments and Electronic Money (Safeguarding) Instrument 2025 (FCA 2025/38) se aplica desde el 7 de mayo de 2026 y prescribe la conciliación diaria y la forma de la carta de reconocimiento de salvaguarda.

Pasaporte europeo y modelo de agente. Una PI o EMI autorizada en la UE obtiene el pasaporte en todo el EEE conforme al PSD2, artículo 28 / EMD2, artículo 3 mediante notificación al regulador de origen. El PSD2, artículo 19 permite a una PI prestar servicios de pago a través de agentes en su nombre; el EMD2, artículo 3(5) extiende esta posibilidad a los agentes de una EMI para servicios de pago no relacionados con la emisión de dinero electrónico.

Los agentes y distribuidores no pueden emitir dinero electrónico por sí mismos: solo la EMI principal puede emitirlo. El registro del agente ante el regulador de origen suele tardar entre dos y tres meses desde la presentación de documentos. Para una fintech en fase inicial que quiere operar antes de obtener su propia licencia, el modelo de agente es la vía habitual para acortar el plazo de salida al mercado.

MiCA y los tokens de dinero electrónico. Conforme al artículo 48(1) de MiCA, solo las entidades de crédito y las EMI pueden emitir tokens de dinero electrónico; el artículo 48(2) establece que los tokens de dinero electrónico se consideran dinero electrónico. El Dictamen EBA/Op/2025/08 de 10 de junio de 2025 y un dictamen posterior de 12 de febrero de 2026 confirmaron que los proveedores de servicios de criptoactivos que custodian o transfieren EMT prestan servicios de pago en el sentido de PSD2 y deben cumplir de forma acumulativa los requisitos de capital del artículo 67 / anexo IV de MiCA y del artículo 7 de PSD2. El régimen transitorio previsto en la No-Action Letter de EBA finalizó el 2 de marzo de 2026.

Un fundador que desarrolla una stablecoin en euros necesita una licencia de EMI como requisito previo, además de la autorización conforme al título IV de MiCA y del recargo de capital de PSD2 si alguna actividad clasificada como CASP se sitúa dentro de la entidad operativa.

Vías de licenciamiento fuera de la UE. Fuera de la UE, las rutas divergen:

• Reino Unido: el régimen de la FCA reproduce en sustancia PSD2 mediante las Electronic Money Regulations 2011 y las Payment Services Regulations 2017, con la diferencia práctica de que no existe pasaporte de la UE y de que la FCA gestiona las categorías de Small EMI y Small PI, situándose una Small PI por debajo del umbral de 3 millones de € de media mensual de operaciones de pago y una Small EMI por debajo de 5 millones de € de dinero electrónico medio en circulación.
• Emiratos Árabes Unidos: se aplican tres reguladores. El Central Bank of the UAE cubre los servicios de pago minoristas onshore (RPSCS Circular 15/2021) y las stored-value facilities (SVF Circular 6/2020); la ADGM Financial Services Regulatory Authority gestiona las autorizaciones de Money Services Business (Categoría 3C, capital base de 250.000 USD); y la DIFC Dubai Financial Services Authority emite las autorizaciones de Providing Money Services y Stored Value Issuer (Categoría 3D desde 200.000 USD, Categoría 3C desde 500.000 USD, con la Categoría 4 (solo asesoramiento/intermediación) desde 10.000 USD).
• Canadá: se aplican dos regímenes paralelos. El registro MSB ante FINTRAC se rige por la Proceeds of Crime (Money Laundering) and Terrorist Financing Act, y el registro PSP ante el Bank of Canada se rige por la Retail Payment Activities Act, en vigor desde el 8 de septiembre de 2025, con una tasa única de solicitud de registro de 2.500 CAD (base de noviembre de 2024, indexada anualmente según la variación del IPC general de Canadá de septiembre, conforme al art. 25(1) RPAR).
• Australia: AUSTRAC regula la actividad de remesas y transferencia de dinero conforme a la AML/CTF Act 2006, y se espera que la reforma de modernización del sistema de pagos del Tesoro (Payments System Modernisation) introduzca un nuevo marco de SVF y de servicios de pago a partir de 2027.

Para consultar la página de categoría completa sobre EMI e instituciones de pago, véase la guía de licenciamiento de EMI y de pagos. Las condiciones del Brexit en la vía del Reino Unido se tratan en la visión general del licenciamiento.

Banca

La banca es el componente más subestimado del lanzamiento de una fintech. Una fintech con licencia necesita dos acuerdos bancarios distintos: un acuerdo de salvaguarda para los fondos de clientes y una cuenta operativa para la tesorería propia de la firma. La salvaguarda es la puerta que controla el regulador; el lado operativo es la autonomía financiera de la firma.

La cuestión de la salvaguarda es la restricción vinculante, no la cuestión operativa. El artículo 10 de la PSD2 y el artículo 7 de la EMD2 exigen que los fondos de clientes mantenidos al cierre de la jornada se segreguen en una entidad de crédito autorizada bajo un régimen de fideicomiso, o bien queden cubiertos por una póliza de seguro o una garantía comparable. La entidad emite una carta de reconocimiento de salvaguarda que confirma el estatus fiduciario, el tratamiento fuera de balance, la ausencia de compensación frente a los créditos de la entidad y la exención del derecho de retención general de la entidad.

El cierre del expediente de licencia depende de esa carta: un borrador no basta; lo que el regulador quiere ver es la carta firmada.

En el Reino Unido, el instrumento FCA 2025/38 (aplicable desde el 7 de mayo de 2026) prescribe la forma de la carta, la conciliación diaria y la auditoría independiente anual de salvaguarda.

La tesorería, las nóminas, el FX y los pagos a proveedores se sitúan en la capa bancaria operativa. Una fintech con licencia en la UE mantiene normalmente cuentas operativas en una o dos entidades de crédito y utiliza un proveedor de tipo EMI para el FX y la liquidación multidivisa. La participación directa en SEPA Direct (Credit Transfer o Instant) exige participar en TIPS o mantener una relación de patrocinio con una entidad de crédito participante en TIPS; la mayoría de las EMI y PI operan como participantes indirectos y dependen de un banco patrocinador para la compensación.

La banca corresponsal y un SWIFT BIC resultan relevantes para los flujos no SEPA: cada vez más escasos tras el ciclo global de de-risking de 2015–2025, pero obtenibles para entidades licenciadas con programas AML creíbles.

A través de la red de socios de Jagelski & Partners, en 2025 las empresas situaron más de catorce mil millones de euros de facturación de clientes en relaciones bancarias y con EMI. La colocación se gestiona como una precalificación en toda la red y no como solicitudes sucesivas: los analistas de la firma evalúan el perfil del cliente frente al apetito real de más de 90 entidades, identifican coincidencias creíbles tanto para el tramo de salvaguarda como para el operativo, y ejecutan la colocación en paralelo a la solicitud de licencia.

Según nuestra experiencia, los fundadores de fintech que obtienen una carta de salvaguarda antes de presentar el expediente acortan el camino hacia la autorización entre cuatro y diez semanas, porque la cuestión de la salvaguarda que plantea el regulador queda resuelta en el momento de la lectura del expediente, y no después.

Jagelski & Partners recibe su remuneración de la institución, no del cliente. No cobramos comisión de onboarding. Los precios que figuran en la documentación de apertura de cuenta del cliente son la tarifa institucional. No se aplica ningún recargo sobre los precios institucionales.

Compliance continuo

El compliance continuo es un gasto operativo permanente, no un evento único de licenciamiento. Para una EMI o PI autorizada en la UE, el perímetro de compliance abarca AML/CFT, la conducta y los reportes bajo PSD2, la auditoría de salvaguarda, la gestión de reclamaciones, las notificaciones de pasaporte europeo y DORA. La horquilla anual realista para una EMI de tamaño medio se sitúa entre 1,0 millones € y 2,0 millones €.

AML/CFT. Las PI y las EMI de la UE son sujetos obligados en virtud de las Directivas contra el blanqueo de capitales (actualmente 5AMLD y 6AMLD). Desde el 10 de julio de 2027 se aplica en su totalidad el nuevo Reglamento AML, Reglamento (UE) 2024/1624; AMLD6 (Directiva (UE) 2024/1640) debe transponerse en esa misma fecha, y determinadas disposiciones sobre interconexión y acceso a los registros de titulares reales (artículo 74 de AMLD6) se aplican desde el 10 de julio de 2026.

Fráncfort acoge la autoridad europea de lucha contra el blanqueo de capitales (AMLA) en funcionamiento desde el 1 de julio de 2025. La función de MLRO es un nombramiento permanente de alta dirección, y el manual AML/CFT es un documento vivo que el regulador puede solicitar en cualquier momento.

Conducta y reporting bajo PSD2. Las Directrices de la EBA sobre notificación de fraude y sobre notificación de incidentes graves (EBA/GL/2017/10, ya sustituidas) rigen los ciclos de reporte estadístico y de incidentes. El Reglamento (UE) 2020/2011 del BCE (Estadísticas de pagos) impone un reporte estadístico armonizado a los PSP. El PSR, cuando entre en vigor, introducirá una plataforma colaborativa de intercambio de datos de fraude entre los PSP y normas armonizadas de responsabilidad para el fraude de pagos autorizados por transferencia inmediata.

Auditoría de salvaguarda. Se exige un informe anual de auditor independiente sobre el compliance en materia de salvaguarda en todos los regímenes EMI/PI de la UE y del Reino Unido. En el Reino Unido, el instrumento de la FCA FCA 2025/38 (aplicable desde el 7 de mayo de 2026) establece el alcance prescrito: conciliación diaria, la forma de la carta de reconocimiento de salvaguarda y la auditoría externa anual.

Resiliencia operativa. Desde el 17 de enero de 2025, el Digital Operational Resilience Act (Reglamento (UE) 2022/2554) es aplicable a las PI, las EMI, las entidades de crédito, las empresas de servicios de inversión y los CASP en virtud del artículo 2(1). DORA abarca la gestión del riesgo ICT, la notificación de incidentes (notificación inicial en un plazo de cuatro horas cuando resulte aplicable conforme al Reglamento Delegado (UE) 2025/301 de la Comisión), las pruebas de penetración basadas en amenazas cada tres años para las entidades significativas y el Registro de información sobre los acuerdos contractuales con terceros proveedores de ICT. La primera presentación del registro debía efectuarse el 30 de abril de 2025, y se repite anualmente conforme al Reglamento de Ejecución (UE) 2024/2956 de la Comisión, de 29 de noviembre de 2024 (RTS de ejecución sobre el Registro de información).

Reclamaciones, pasaporte europeo e información prudencial. El artículo 101 de PSD2 y las Directrices de la EBA sobre gestión de reclamaciones definen el perímetro de las reclamaciones de clientes. Las modificaciones sustanciales de servicios, agentes, distribuidores o sucursales deben notificarse al regulador de origen, con aprobación del regulador normalmente en el plazo de un mes conforme al artículo 28 de PSD2. La adecuación de capital se revisa anualmente frente al mayor entre el capital inicial y el requisito del Método A/B/C.

Marco de costes anuales. El compliance es una fracción recurrente de los ingresos de la firma, no una partida de proyecto. Para una pequeña EMI que salvaguarda 50 millones de € de fondos de clientes, el presupuesto anual realista se sitúa entre 300.000 € y 500.000 €, repartidos entre el MLRO y la función de compliance, la auditoría de salvaguarda, los controles ICT bajo DORA y las tasas regulatorias.

Para un EMI de tamaño medio que salvaguarda 500 millones de €, la cifra se eleva a entre 1,0 millones de € y 2,0 millones de €. Con 5 mil millones de € o más de fondos de clientes salvaguardados, la cifra para un EMI grande supera los 5 millones de € e incluye equipos dedicados de segunda y tercera línea, un programa DORA completo y una posible supervisión directa de AMLA.

Plazos y costes realistas

De forma realista, los plazos completos desde la constitución hasta el lanzamiento operativo van de seis a dieciocho meses. Los honorarios profesionales se sitúan entre 40.000 € y 250.000 €, más el capital inicial y el colchón bancario. Según nuestra experiencia, la variación proviene de la jurisdicción, del grado de integridad del expediente en la primera presentación de documentos y de si la salvaguarda se tramita en paralelo con el licenciamiento o con posterioridad.

Cronograma integral y horquilla de costes

Lo que comprime el plazo: salvaguarda precalificada antes de inmovilizar el capital; documentación de compliance predactada (manual AML/CFT, políticas de gobernanza, nombramiento del MLRO); un expediente fit and proper limpio para consejeros y accionistas significativos; y un regulador elegido con un historial de tramitación publicado. Lo que lo amplía: la salvaguarda secuenciada después de la solicitud de licencia en lugar de en paralelo; un MLRO nombrado tarde; una estructura de sociedad matriz que el regulador de origen decide evaluar en cuanto a sustancia económica indirecta; y un alcance de producto sobredimensionado que activa varias autorizaciones de líneas de servicio a la vez.

Cifras con fecha de mayo de 2026 y expresadas en euros para las columnas de la UE/Reino Unido, en dólares estadounidenses para las columnas de los EAU, y en dólares canadienses y australianos para las columnas de Norteamérica y APAC respectivamente, cuando proceda.

Preguntas frecuentes

Referencias