El regulador de la industria criptográfica en Dubai trata el tema de la conformidad como algo que forma parte de la infraestructura necesaria para el desarrollo de este sector.

La última serie de regulaciones relacionadas con las criptomonedas no tiene que ver con si se puede operar en ese sector o no. Lo importante es cómo se debe pensar al hacerlo.

La Autoridad de Regulación de Activos Virtuales de Dubai (VARA) ha pasado de establecer reglas a exigir que los procesos relacionados con los activos virtuales se desarrollen bajo condiciones reales y dinámicas. Una circular emitida en noviembre de 2025 exige que todos los proveedores de servicios de activos virtuales autorizados en el emirato cumplan con estas normas.Realiza revisiones trimestrales de su evaluación de riesgos comerciales.Es un documento interno que describe la exposición de una empresa a posibles amenazas como el lavado de dinero, la financiación del terrorismo y otros tipos de delitos financieros. Los análisis deben ser…Basado en datos, fundamentado en pruebas científicas, y aprobado a nivel de la junta directiva.A los VASP se les dijo que…Que realicen su primera reevaluación trimestral antes del 30 de noviembre de 2025.Y VARA lo hará.Verificar el cumplimiento de las normativas a través de inspecciones, revisiones temáticas y informes reglamentarios..

Para ser honestos, la periodicidad trimestral es algo que realmente merece atención. La mayoría de las jurisdicciones relacionadas con criptomonedas solicitan una evaluación de riesgos una vez, al momento de la licencia, y luego esperan que esa evaluación siga siendo relevante. VARA trata este documento como lo haría un banco con sus modelos de prueba de estrés: como algo que se desgasta si no se le proporcionan datos nuevos constantemente.

¿Qué es lo que realmente hace el “método basado en datos” aquí?

El informe no simplemente dice “mantenga su evaluación de riesgos actualizada”. En realidad, exige que dicha evaluación se base en datos concretos y que esté alineada con los requisitos establecidos.Evaluación Nacional de Riesgos del UAELa propia evaluación que realiza el gobierno sobre las vulnerabilidades financieras y relacionadas con la delincuencia en el país se actualiza periódicamente. Este requisito de alineamiento es el eje sobre el cual se basa todo el proceso. Un VASP ya no puede presentar un perfil de riesgo estático que permanezca sin cambiar. Debe continuamente comparar su propia visión de los riesgos con la percepción del estado sobre las amenazas nacionales.

Bajo la reglamentación general (Regla III.D), los VASP son…Es necesario mantener un informe detallado sobre la evaluación de riesgos relacionados con las prácticas de prevención del blanqueo de dinero y financiamiento del terrorismo.El análisis circular añade, además de esa base de datos, una revisión trimestral. Los riesgos emergentes, incluyendo las amenazas generadas por la inteligencia artificial, también están incluidos en el análisis.

Esto es importante porque obliga a las empresas de criptografía a desarrollar una función de inteligencia interna que las instituciones financieras tradicionales tardaron décadas en crear. El costo de cumplir con los requisitos legales está aumentando, sí. Pero también lo está la calidad de la infraestructura de gestión de riesgos, que permanece activa incluso después de que el equipo de cumplimiento presenta su informe.

La aplicación de las normas no es algo teórico.

VARA ya lo ha hecho.Se advirtió a varios VASP que no cumplían con estos requisitos de evaluación.Según los informes de noviembre de 2025, la circular en cuestión se basó en las reglas de gestión de riesgos de mayo de 2025 y en la circular de evaluación de riesgos nacional de junio de 2025. Se trata de una secuencia de tres pasos; no parece ser simplemente una normativa, sino más bien un sistema que se va construyendo poco a poco.

Ese orden de las cosas es deliberado. En primer lugar, se establece el marco de gestión de riesgos. En segundo lugar, se relaciona ese marco con la situación de riesgo nacional. En tercer lugar, se convierte en una obligación recurrente. Si VARA se hubiera detenido en la primera etapa, esto habría sido simplemente otro requisito de licencia. En la tercera etapa, se convierte en algo que forma parte de la memoria institucional.

El contraste con Europa

La regulación de los mercados de criptoactivos en la UE (MiCA), que ahora se encuentra en fase de implementación, también exige que los proveedores de servicios relacionados con criptoactivos cumplan ciertos requisitos.Mantener controles sólidos en materia de AML/CFT, políticas internas y procedimientos de gestión de riesgos.Pero el marco de control contra el lavado de dinero establecido por MiCA delega detalles operativos importantes a los organismos nacionales de supervisión y a la propia regulación contra el lavado de dinero de la Unión Europea. Esta regulación establece principios generales, pero no prescribe un calendario específico para las revisiones.

Dubái está haciendo algo diferente: establece un ritmo específico para el cumplimiento de las normas. El ciclo trimestral es una elección de diseño, no un error administrativo. Esto indica que VARA considera la evaluación de riesgos como un proceso continuo, y que ese proceso debe adaptarse a la velocidad con la que los mercados criptográficos y los entornos de amenazas cambian en realidad.

Creo que la cuestión más importante aquí no es si las revisiones trimestrales frenarán la innovación en Dubái. Lo importante es si este tipo de especificidades operativas se convertirá en el modelo que otras jurisdicciones emularán cuando se den cuenta de que las evaluaciones de riesgos puntuales son inútiles en una industria que cambia su perfil de riesgo con mayor velocidad que la mayoría de los ciclos regulatorios.

¿Qué sucederá a continuación?

El punto de presión práctica es la junta directiva de la empresa. Si las revisiones de riesgos deben ser aprobadas por la junta directiva cada trimestre, entonces las personas que son responsables de garantizar el cumplimiento de las normas de la empresa se ven obligadas a analizar periódicamente el perfil de riesgos de la empresa. No se puede delegar esa tarea en un oficial de cumplimiento y olvidarse de ello durante un año. Se trata, en realidad, de un cambio en los procedimientos de gobierno, disfrazado como una norma operativa.

Lo que hay que observar es si las inspecciones de VARA revelan deficiencias sistémicas en la forma en que las empresas realmente construyen sus evaluaciones basadas en datos. También es importante ver si otras jurisdicciones, como Singapur, el Reino Unido o incluso los estados de los Estados Unidos, comienzan a adoptar requisitos de revisión similares. Si lo hacen, el ejemplo de Dubái parecerá más un modelo a seguir para la implementación de normativas relacionadas con el cumplimiento de requisitos legales en el ámbito de las criptomonedas.

Si no lo hacen, entonces la pregunta es si las empresas comenzarán a considerar los estándares de Dubái como el punto de referencia de facto, simplemente porque ese es el estándar que realmente se aplica en la práctica.