Señales de seguridad: las que importan y las que no

En 2024, más de 100,000 personas perdieron acceso a más de 265 millones de dólares cuando quebró Synapse, una empresa de middleware que conectaba aplicaciones financieras con bancos socios en Estados Unidos.

Todas esas aplicaciones anunciaban seguro FDIC. Ninguna mintió. El seguro de depósitos cubre exactamente un evento: la quiebra del banco autorizado.

No cubre la quiebra de la fintech, no cubre la quiebra del intermediario tecnológico y no cubre que los registros contables estén mal mientras todos los bancos involucrados siguen abiertos, que fue precisamente lo que ocurrió.

La Federal Deposit Insurance Corporation lo dijo con claridad en su análisis posterior: el problema pudo haberse detectado mucho antes si los bancos socios hubieran mantenido mejores registros y realizado conciliaciones frecuentes y rutinarias.

La pregunta que en realidad estás haciendo

Cuando un director de finanzas evalúa mover operaciones internacionales fuera de su banco, rara vez pregunta si el proveedor es seguro. Casi siempre está preguntando otra cosa, aunque no la formule así: si algo sale mal, ¿puedo explicar con claridad por qué tomé esta decisión?

Esa es una pregunta legítima y merece una respuesta verificable, no tranquilizadora. Las cinco señales que siguen son las que resisten esa prueba. Cada una incluye qué cubre, qué no cubre y cómo comprobarla.

Señal 1. Qué registro tiene el proveedor y cuál es su alcance real

En México, quien recibe fondos para transmitirlos debe estar inscrito como transmisor de dinero ante la Comisión Nacional Bancaria y de Valores, conforme al artículo 81-A Bis de la Ley General de Organizaciones y Actividades Auxiliares del Crédito. La inscripción exige un dictamen técnico favorable emitido por la propia CNBV y debe renovarse cada tres años.

Qué cubre. Que la entidad existe formalmente, que fue evaluada y que está sujeta a obligaciones de prevención de lavado de dinero y financiamiento al terrorismo bajo el artículo 95 Bis.

Qué no cubre. La supervisión de la CNBV sobre esta figura se concentra en cumplimiento en materia de prevención de lavado, no en un régimen prudencial de solvencia equivalente al de un banco. Es una distinción que casi nadie explica y que conviene entender antes de firmar.

Cómo verificarlo. El registro es público. Pide el número de folio y confírmalo directamente en el padrón de la CNBV. Si el proveedor no te da el folio en el primer correo, esa ya es información.

Señal 2. Dónde vive el dinero y a nombre de quién

Aquí está el corazón del caso Synapse. Para que el seguro FDIC aplique de forma indirecta a los fondos de un cliente final, lo que se conoce como cobertura pass-through, deben cumplirse tres condiciones simultáneas: que los fondos sean genuinamente propiedad del cliente y no de la fintech, que los registros del banco identifiquen la cuenta como custodia, y que exista un registro que vincule con precisión cada dólar con su propietario real.

Qué cubre. Si las tres condiciones se cumplen y el banco autorizado quiebra, la cobertura aplica como si el cliente tuviera la cuenta directamente en el banco.

Qué no cubre. Cualquier otro escenario. Si la tercera condición falla, es decir, si el registro no es limpio, la cobertura puede simplemente no aplicar y los fondos quedan asegurados a nombre de la fintech, no del cliente.

Cómo verificarlo. Pregunta por escrito tres cosas: en qué banco están los fondos, bajo qué figura contractual, y quién lleva el registro que identifica el saldo de tu empresa dentro de ese arreglo.

Señal 3. Qué entidad legal firma cada servicio

Muchas plataformas financieras internacionales operan como grupos de entidades jurídicamente independientes, cada una autorizada bajo un marco distinto. Eso no es una señal de alarma: es la forma normal de operar servicios transfronterizos. La señal de alarma es que no te lo digan.

Qué cubre. Saber con qué entidad estás contratando determina qué autoridad la regula, qué obligaciones tiene y ante quién se reclama.

Qué no cubre. La existencia de un grupo internacional no implica que todas sus entidades tengan las mismas licencias ni las mismas protecciones.

Cómo verificarlo. Pide el mapa: qué entidad presta cada servicio, en qué jurisdicción y bajo qué autorización. Un proveedor que tiene esto ordenado te lo manda en una tabla. Uno que no, te manda un texto de marketing.

Señal 4. Si existe conciliación diaria y registro por beneficiario

Después de Synapse, la FDIC propuso una regla que exigiría a ciertos arreglos de cuentas de custodia mantener registros de los depositantes finales y realizar conciliaciones al cierre de cada día hábil. La propuesta no ha sido finalizada, lo cual hace todavía más relevante preguntarlo de manera directa, porque hoy depende de la práctica de cada proveedor y no de una obligación uniforme.

Qué cubre. Una conciliación diaria y un registro por beneficiario son el mecanismo que hace que una discrepancia se detecte en horas y no en meses.

Qué no cubre. Ninguna certificación externa sustituye esta práctica. Es operativa, no reputacional.

Cómo verificarlo. Pregunta con qué frecuencia se concilia, quién lo hace y si puedes obtener evidencia por operación: tasa aplicada, monto enviado, monto recibido y fecha valor.

Señal 5. Qué ocurre cuando una operación se detiene

En la práctica, el riesgo más frecuente para una empresa mediana no es la quiebra de nadie. Es una operación retenida por revisión de cumplimiento un jueves, con una nómina de proveedores que vence el viernes.

Qué cubre. Un protocolo documentado de excepciones, con responsable identificado y tiempos esperados, convierte un evento angustiante en un procedimiento.

Qué no cubre. Un chat con respuesta automática. Un correo genérico de soporte. Una promesa de atención sin nombre y sin escalamiento definido.

Cómo verificarlo. Pregunta quién es tu contacto directo, cuál es la ruta de escalamiento, y qué sucede un sábado. Pide un caso real, aunque sea anonimizado.

Las señales que suenan bien y no significan casi nada

Encriptación de nivel bancario. Es una descripción técnica estándar, no una garantía de custodia.

Logotipos de inversionistas reconocidos. Dicen algo sobre el respaldo financiero de la empresa y nada sobre dónde está tu dinero.

Cobertura en muchos países. Es alcance operativo, no protección.

La palabra confianza en un encabezado. La FDIC ha señalado expresamente que el uso de indicadores de seguro que sugieran protección frente a la falla de una fintech constituye una representación indebida, y que puede perseguirla mediante sus facultades de supervisión y sanción.

Aplicando el mismo cuestionario a nosotros

Sería incoherente publicar esta lista y no responderla. EFEX Pay, S.A.P.I. de C.V. opera en México como transmisor de dinero autorizado por la CNBV bajo el registro número 22469, un dato que puedes verificar en el padrón público sin pedirnos nada. El grupo está integrado por entidades jurídicamente independientes, incluidas Efex Inc. en Estados Unidos y Efex Pay en México, y cada servicio se contrata con la entidad que corresponde conforme a su propio marco regulatorio. Los servicios disponibles en Estados Unidos se prestan a través de entidades autorizadas, con fondos resguardados en un banco regulado y registro ante FinCEN. Determinadas funcionalidades, incluida la cobertura cambiaria, son habilitadas por terceros regulados conforme a su propia normatividad.

Ese último párrafo es más largo y menos elegante que un sello en el pie de página. Esa es exactamente la idea. Un proveedor que puede describir su estructura en detalle es un proveedor cuya estructura resiste el detalle.

Tres preguntas para llevar a tu próxima reunión

Hazlas a cualquier proveedor que estés evaluando. Háznoslas a nosotros. La calidad de la respuesta te va a decir más que cualquier página de seguridad.