.png){kind=small}
Legal Paradox®
Las herramientas fintech son la categoría que está detrás de todas las demás categorías de este mapa. Infraestructura en la nube, verificación de identidad, core bancario, motores antifraude, plataformas de datos, comunicaciones, automatización de marketing. Ninguna de estas empresas tiene una licencia financiera, y la mayoría no son mexicanas. Pero en cuanto una institución financiera regulada en México quiere contratar a una de ellas, comienza un proceso regulatorio, y es la institución la que tiene que presentarlo.
Mapa Fintech by Legal Paradox® da seguimiento a los proveedores de tecnología que operan en el sector financiero mexicano, incluidos los servicios que prestan, las instituciones a las que atienden y su lugar en la cadena de suministro de la que dependen las entidades reguladas.
Una distinción crítica: esta categoría comprende a las empresas cuyo producto es tecnología vendida a instituciones financieras, no servicios financieros vendidos a usuarios finales. Una empresa que origina crédito se registra en Crédito. Una empresa que le vende el motor de originación a un otorgante de crédito se registra aquí.
Una institución financiera regulada en México no puede simplemente firmar un contrato con un proveedor de tecnología. Conforme a la regulación secundaria aplicable a cada tipo de entidad financiera, contratar a un tercero para servicios vinculados con la actividad regulada de la institución requiere una autorización de la CNBV o un aviso, según el servicio y el proveedor.
De ahí se siguen tres consecuencias, y los proveedores suelen descubrir las tres tarde.
El trámite le corresponde a tu cliente, no a ti. La institución regulada presenta el expediente, responde las observaciones del regulador y asume la consecuencia supervisora si la clasificación es incorrecta. Pero el fondo de ese expediente describe tu servicio, tu infraestructura, tu manejo de datos y tus previsiones de continuidad. No puedes delegarlo, y tu cliente no puede escribirlo sin ti.
La decisión comercial no cierra el trato. Con una autorización pendiente no es posible celebrar el contrato. El trato se cierra cuando el regulador termina, y ese plazo no depende de ti.
La clasificación no es una cuestión de criterio. Que un proveedor requiera un proceso de autorización completo o un simple aviso depende del tipo de servicio y del perfil del proveedor conforme a la regulación aplicable. Es binario, se determina antes de empezar a redactar, y clasificar como sujeto a aviso a un proveedor que necesitaba autorización completa expone a la institución a consecuencias supervisoras.
Un expediente de autorización de un proveedor externo ante la CNBV no es un formulario. Es un paquete documental, y la institución lo integra en torno a la información del proveedor.
Los documentos centrales incluyen el escrito de solicitud, un plan de negocios del servicio subcontratado, un reporte de infraestructura tecnológica, el proyecto de contrato de prestación de servicios, un plan de continuidad de negocio, una política de confidencialidad, un aviso de privacidad, un manual de protección de datos personales, un manual de reporte de contingencias operativas y el manual de contratación y evaluación de terceros de la institución. El material de soporte incluye poderes, el registro de proveedores de la institución, diagramas de infraestructura de red, aprobaciones del consejo y de la alta dirección y, cuando el proveedor es extranjero, una declaración jurada (affidavit) preparada por un abogado con licencia en el país de origen del proveedor, apostillada y traducida por perito traductor.
Las certificaciones de seguridad como ISO 27001 no son obligatorias conforme a la regulación aplicable, pero sí recomendables. Cuando un proveedor ya las tiene, presentarlas fortalece el expediente y reduce la probabilidad de observaciones en materia de seguridad de la información.
Cuatro modos de falla explican la mayor parte del retraso, y ninguno tiene que ver con la calidad de la tecnología.
Desagregación insuficiente. Es la fuente más frecuente de observaciones. Las descripciones del servicio casi siempre se redactan a nivel de producto o de sistema, lo cual es correcto para un contrato comercial e insuficiente para un regulador. La CNBV espera una narrativa a nivel de proceso y subproceso: qué ocurre, en qué secuencia, en qué sistemas, con qué datos, ejecutado por qué personal y recuperable con qué previsión de continuidad. Un proveedor que describe su oferta como "infraestructura en la nube" no ha descrito nada que el regulador pueda revisar.
Documentación hecha para otra jurisdicción. Los proveedores que ya obtuvieron autorizaciones en Europa, el Reino Unido, Singapur o Estados Unidos subestiman de forma sistemática la brecha. El estándar documental de México está entre los más exigentes, y convertir el material existente es un retrabajo sustantivo, no un cambio de formato. Tratarlo como un ejercicio de traducción es la forma en que una fase de seis semanas se convierte en una de seis meses.
Lo legal y lo técnico dicen cosas distintas. El escrito es legal y los anexos son técnicos, y con frecuencia los producen equipos distintos que nunca los concilian. La inconsistencia entre ambos es el otro detonante común de observaciones, y es totalmente evitable antes de presentar el trámite.
Estructuras del mismo grupo. Cuando la institución y su proveedor de tecnología pertenecen al mismo grupo corporativo, los contratos de servicios intragrupo requieren un tratamiento específico. Si se manejan sin una estrategia coordinada, estas estructuras generan ciclos circulares de autorización y rondas adicionales de observaciones que nada tienen que ver con los méritos de ninguna de las dos entidades.
En una autorización de proveedores corren dos relojes, y solo uno de ellos puede comprimirse.
El reloj del regulador es estructural. El ciclo actual es de aproximadamente seis a ocho semanas entre la presentación y el primer oficio de observaciones, y de cuatro a seis semanas entre la respuesta y la segunda revisión. El plazo total, desde la primera presentación hasta la resolución, suele ser de seis a ocho meses. Ningún asesor controla esto, y un retraso en esta etapa no es una señal de la calidad del expediente.
El otro reloj es todo lo que ocurre entre esos ciclos: el diagnóstico de brechas, la recopilación de información, la redacción y la respuesta a cada observación. Ese reloj se mide en días cuando el trabajo está organizado, y en meses cuando no lo está. Un expediente cuya respuesta a un oficio de observaciones tarda tres semanas le agregó a su propio plazo casi un ciclo de revisión completo sin ninguna razón regulatoria.
Una nota de calendario para 2026: se espera que la próxima evaluación del GAFI a México eleve el nivel de escrutinio en los procesos de autorización de entidades financieras a lo largo del año. Presentar antes es mucho más fácil que presentar después.
La división del trabajo es lo que la mayoría de los proveedores hace mal en el primer intento.
La institución tiene sus propios documentos de gobierno corporativo: poderes, registro de proveedores, políticas de contratación y las aprobaciones del consejo y de la dirección. Su equipo de TI produce los diagramas de infraestructura de red. El proveedor aporta su documentación corporativa, sus certificaciones cuando las tiene y la realidad operativa de lo que su servicio hace en verdad. La declaración jurada la emite un abogado con licencia en la jurisdicción de origen del proveedor. La apostilla y la traducción pericial se gestionan para todo lo emitido fuera de México.
Todo lo demás es trabajo de traducción: tomar la descripción operativa del proveedor y las obligaciones de la institución, y producir documentos que el regulador pueda aprobar. Ahí es donde el expediente se gana o se pierde.
Mapa Fintech by Legal Paradox® es un directorio público, actualizado de forma continua, de los proveedores de tecnología que operan en el sector financiero regulado de México, con sus servicios, sus clientes institucionales y su posición regulatoria. Abajo encontrarás el directorio completo.
Legal Paradox® ha asesorado a 8 unicornios, 9 bancos y 4 empresas BigTech en regulación fintech mexicana, y ha trabajado todos los ángulos del proceso de autorización de proveedores: para las entidades reguladas que presentan el trámite, para el proveedor del mismo grupo y para el proveedor internacional de tecnología cuya descripción del servicio tiene que convertirse en lenguaje regulatorio. El despacho participó en las más de 270 mesas de trabajo que dieron origen a la Ley Fintech y co-redactó su regulación secundaria, y mantiene un Regulatory Dashboard público con datos oficiales del DOF.
Datos de Mapa Fintech by Legal Paradox® y del Regulatory Dashboard. Referencias regulatorias de la Ley para Regular las Instituciones de Tecnología Financiera, las Disposiciones de Carácter General de la CNBV y las circulares de Banxico. Última actualización: octubre de 2026.
