.png){kind=small}
Legal Paradox®
© 2017 - 2026 Legal Paradox®. Todos los derechos reservados.
Conforme a la Ley Fintech y las CUIFPEs de México, una IFPE (institución de fondos de pago electrónico) debe obtener autorización de la CNBV y del Banco de México —o presentar un aviso previo— antes de contratar a prestadores de servicios externos relevantes para sus operaciones reguladas. El plazo legal de revisión es de 25 días hábiles. En la práctica, la resolución tarda de seis a ocho meses. El incumplimiento conlleva multas de hasta 150,000 UMA (~17.6 millones de pesos), suspensión de operaciones o revocación de la licencia.
La Ley Fintech de México (2018) y su regulación secundaria imponen una obligación específica que toma por sorpresa tanto a las fintech como a sus proveedores de tecnología: antes de que una IFPE pueda contratar a ciertos prestadores de servicios externos, debe dar aviso a la CNBV y al Banco de México u obtener su autorización, y equivocarse tiene consecuencias que van desde sanciones hasta la revocación de la licencia.
Esta página explica a quién afecta, qué exige el proceso y cuánto cuesta realmente hacerlo bien, ya seas una fintech que quiere incorporar a un nuevo proveedor o una empresa de tecnología que quiere ser contratada por instituciones financieras reguladas en México.
La obligación tiene su origen en el artículo 54 de la Ley Fintech, que faculta a la CNBV y al Banco de México para establecer las reglas específicas que rigen la contratación de terceros por parte de las instituciones de tecnología financiera, y preserva expresamente la facultad de la CNBV y de Banxico de supervisar en cualquier momento a los proveedores contratados.
Las reglas operativas están en las CUIFPEs (Disposiciones de Carácter General aplicables a las Instituciones de Fondos de Pago Electrónico), específicamente en el capítulo V, artículos 44 a 55. Estas disposiciones fueron emitidas de forma conjunta por la CNBV y el Banco de México y son obligatorias para todas las IFPE.
No es una zona gris. La obligación existe, es específica, y tanto la CNBV como Banxico tienen facultades de supervisión sobre los proveedores que contrata una IFPE, no solo sobre la propia IFPE.
El marco de autorización de proveedores afecta a dos tipos distintos de organizaciones:
IFPE: si eres una institución de fondos de pago electrónico autorizada en México, no puedes contratar libremente a prestadores de servicios relevantes para tus operaciones reguladas. Según el tipo de servicio y el perfil del proveedor, debes obtener la autorización completa de la CNBV y del Banco de México, o presentar un aviso al menos 20 días hábiles antes de celebrar el contrato. Contratar sin el trámite requerido genera una exposición regulatoria directa, y el director general de la IFPE es personalmente responsable de aprobar la contratación de proveedores conforme al artículo 44 de las CUIFPEs.
Proveedores de tecnología: si prestas servicios a una IFPE mexicana, tu cliente está obligado a presentar un trámite ante la CNBV y Banxico antes de poder contratarte. Esto significa que la estructura de tu contrato de servicios, tu perfil de acceso a datos y tu documentación técnica influyen directamente en si tu cliente puede completar el trámite, y en qué tan rápido. Entender el proceso no es opcional si quieres cerrar tratos con instituciones financieras mexicanas reguladas.
Las CUIFPEs establecen dos regímenes regulatorios distintos, y determinar cuál aplica a cada proveedor no es una cuestión de criterio: sigue criterios específicos previstos en los artículos 44 y 45 de las CUIFPEs. Las consecuencias de una mala clasificación son significativas: tratar como sujeto a aviso a un proveedor que requiere autorización completa genera una exposición regulatoria retroactiva para la IFPE y para su director general.
Lo que sí podemos decirte aquí es esto: la determinación depende de la naturaleza del servicio, del tipo de datos a los que accede el proveedor, de su papel en la continuidad operativa de la IFPE y de si es un proveedor principal o de respaldo. Debe hacerse un análisis exhaustivo caso por caso, para cada proveedor y línea de servicio, antes de presentar cualquier trámite o celebrar el contrato.
Este análisis no se resuelve leyendo una lista de verificación. Es lo primero que hace Legal Paradox® en cada asunto de autorización de proveedores, y es el paso que la mayoría de los despachos se salta, lo que genera problemas que salen a la luz meses después, cuando la CNBV emite observaciones.
Las CUIFPEs establecen una excepción relevante: no se requiere autorización cuando una IFPE contrata a otra entidad financiera que a su vez está sujeta a una regulación sustancialmente similar. Esta excepción es más estrecha de lo que parece: aplica a entidades financieras reguladas, no a empresas de tecnología ni a proveedores operativos que forman parte del mismo grupo corporativo. Para las estructuras de proveedores intragrupo en las que el proveedor no es una entidad regulada, el marco general de autorización aplica por completo.
Un trámite de autorización completa para un solo proveedor implica preparar un paquete regulatorio completo que se presenta de forma conjunta a la CNBV y al Banco de México. El paquete abarca el alcance del servicio del proveedor, los esquemas de continuidad operativa, el marco de protección de datos, la descripción de la infraestructura, los términos contractuales y la estructura de gobierno corporativo, todo ello mapeado a los requisitos específicos del artículo 49 de las CUIFPEs.
Entre otras cosas, el artículo 49 exige que el contrato de servicios entre la IFPE y el proveedor incluya cláusulas obligatorias específicas, como el derecho de la CNBV y de Banxico a realizar inspecciones al proveedor, la obligación del proveedor de mantener la confidencialidad de la información de los clientes y previsiones para la continuidad del servicio en caso de falla del proveedor. Un contrato que no incluya estas cláusulas generará observaciones, sin importar qué tan completo esté el resto del trámite.
Para los proveedores domiciliados fuera de México —en particular los que operan infraestructura de nube, datos o procesamiento desde China, Singapur, Estados Unidos o la Unión Europea—, el trámite también requiere un tratamiento específico de las transferencias internacionales de datos conforme a la LFPDPPP 2025 de México, cuya aplicación corresponde ahora a la SABG (Secretaría Anticorrupción y Buen Gobierno, que sustituyó al extinto INAI).
El artículo 49 de las CUIFPEs establece un plazo de revisión de 25 días hábiles para las solicitudes de autorización. En teoría, si la CNBV y Banxico no responden dentro de ese plazo, la autorización se entiende otorgada (afirmativa ficta). En la práctica, la CNBV casi siempre emite un "oficio de observaciones" antes de ese plazo, en el que solicita información adicional, complementos o correcciones. Cada ronda de observaciones reinicia el plazo práctico.
Por eso el plazo total, desde la primera presentación hasta la resolución, suele ser de seis a ocho meses, y por eso la calidad del trámite inicial determina cuántas rondas se necesitan, no si habrá rondas.
Sanciones de un vistazo (2026): multas de 30,000 a 150,000 UMA (~3.5 a 17.6 millones de pesos) · Suspensión de operaciones · Revocación de la licencia (arts. 68 y 69 de la Ley Fintech) · Adicionalmente, hasta 320,000 UMA conforme a la LFPDPPP 2025 si hay datos personales de por medio · Responsabilidad personal del director general de la IFPE (art. 44 de las CUIFPEs).
Contratar a un proveedor sin la autorización o el aviso requeridos no es un descuido administrativo: es una infracción regulatoria con consecuencias definidas en la Ley Fintech:
Como referencia, 150,000 UMA al valor de 2026 equivalen aproximadamente a 17.6 millones de pesos. Estas sanciones aplican a la IFPE, y la responsabilidad personal del director general prevista en el artículo 44 de las CUIFPEs significa que también está en juego la responsabilidad individual.
Además, si el proveedor accede a datos personales de los clientes de la IFPE, las infracciones a la NLFPDPPP 2025 pueden sumar multas de hasta 320,000 UMA, que impone la SABG: una exposición separada y acumulable.
Aunque debe hacerse un análisis caso por caso, las siguientes categorías de prestadores de servicios suelen estar sujetas al marco de autorización de proveedores cuando las contrata una IFPE mexicana. Que un proveedor específico de cada categoría requiera autorización completa, un simple aviso o esté exceptuado depende del análisis descrito arriba: la categoría por sí sola no determina el tratamiento.
Infraestructura en la nube y hosting: AWS, Google Cloud, Microsoft Azure, Alibaba Cloud, Oracle Cloud, IBM Cloud
KYC / verificación de identidad: Jumio, Onfido, Truora, MetaMap, Veriff, IDmission, Idemia, Au10tix, Incode Technologies
Core bancario e infraestructura de libro mayor: Mambu, Temenos, Thought Machine, Galileo Financial Technologies, Technisys, Dock
Procesamiento de pagos y redes: Visa, Mastercard, American Express, Prosa, E-Global
Detección de fraude y administración de riesgos: Feedzai, Sift, Sardine, Kount (Equifax), Stripe Radar
PLD / cumplimiento y revisión en listas: ComplyAdvantage, Actico, Dow Jones Risk & Compliance, LexisNexis Risk Solutions, World-Check (LSEG)
Ciberseguridad: CrowdStrike, Palo Alto Networks, Fortinet, Check Point, Darktrace
Sociedades de información crediticia y burós de datos: Buró de Crédito, Círculo de Crédito, Experian, Equifax, TransUnion
Open banking y conectividad por API: Fintoc, Belvo, Plaid, Yapily
Comunicación y CRM: Twilio, Salesforce, HubSpot, Zendesk, Intercom
DevOps e infraestructura de TI: Red Hat, HashiCorp, Datadog, New Relic, PagerDuty
Gestión documental y firma electrónica: DocuSign, Adobe Sign, Mifiel
Biometría y prueba de vida: iProov, FaceTec, Incode Technologies
Infraestructura de remesas y divisas: Currencies Direct, proveedores de plataforma de Western Union, socios de infraestructura de Remitly, Bitso
No son riesgos hipotéticos. Son los patrones que Legal Paradox® ve de forma constante en los procesos de autorización de proveedores de las IFPE, y los que generan más rondas de observaciones.
Para las IFPE:
Para los proveedores de tecnología:
Las IFPE que operan dentro de un grupo corporativo —en el que el proveedor y la IFPE son entidades del mismo grupo— enfrentan requisitos específicos que la relación de grupo no resuelve en automático. Las CUIFPEs no prevén una excepción general intragrupo para proveedores tecnológicos u operativos. Cada proveedor debe analizarse por separado, y la estrategia de los trámites debe coordinarse en todo el grupo para asegurar su consistencia, porque la CNBV evalúa la gobernanza de proveedores del grupo en su conjunto, y las inconsistencias entre trámites generan observaciones que nada tienen que ver con el perfil de cada proveedor.
La conexión directa al SPEI (el sistema de pagos en tiempo real de México) implica un proceso de autorización separado ante el Banco de México —no ante la CNBV—, con su propio marco regulatorio y requisitos técnicos. Este proceso es distinto del marco típico de autorización de proveedores que se describe en esta página.
| Dimensión | Despachos de servicio completo (Band 1) | Legal Paradox® |
|---|---|---|
| Enfoque | Multipráctica (fusiones y adquisiciones, fiscal, litigio, propiedad intelectual, en todos los sectores) | Práctica central: fintech y regulación financiera, activos digitales e IA |
| Interlocución regulatoria | Representación de clientes ante los reguladores | Co-redactó la regulación secundaria de la Ley Fintech; capacitó a personal de la CNBV y de Banxico |
| Herramientas de datos | Sin inteligencia fintech propia | Fintech Map (830 empresas) + Regulatory Dashboard (97 registros de autorización, vinculados al DOF) |
| Velocidad de autorización | Promedio de mercado (777 días, IFPE) | 416 días (Sylon, DOF 10 de abril de 2023): un resultado único y fechado, 46% más rápido, verificado en el DOF |
| Tipo de clientes | Principalmente grandes operaciones y mandatos institucionales | Espectro completo: startups en etapa semilla, scaleups, unicornios, bancos, BigTech, inversionistas institucionales |
| Red global | De 30 a 44 países | Especialista en México con una base internacional de clientes (Solana, Coinbase, Stellar, Circle, Creditas) |
| Ranking de Chambers | Band 1 (firma) | Band 4 (firma), Band 2: Carlos Valderrama (individual) |
Los rankings de Chambers corresponden a las ediciones 2019–2026. La velocidad de autorización se basa en datos verificados en el DOF del Legal Paradox® Regulatory Intelligence Dashboard. Las cifras de mercado son promedios históricos; la cifra del despacho es un resultado único y fechado. No es una garantía de resultado.
El reloj legal de 25 días hábiles casi siempre detona una ronda de observaciones antes de vencer. El plazo total de seis a ocho meses refleja la realidad práctica del proceso de revisión, no el plazo legal.
Soy una IFPE que necesita autorizar proveedores antes de contratarlos:
→ Empieza por una estrategia del trámite y la determinación del tratamiento de cada proveedor en el alcance. No empieces a preparar documentos antes de clasificar a cada proveedor.
Legal Paradox® ha concluido más de 25 asuntos de autorización de proveedores para IFPE, IFC, bancos y otras entidades supervisadas.
Soy una IFPE que opera dentro de un grupo corporativo con varios proveedores del mismo grupo:
→ La estrategia del trámite debe abordar la arquitectura del grupo en su conjunto.
Legal Paradox® tiene experiencia directa con estructuras de proveedores del mismo grupo, incluido Fintoc, donde la IFPE y su principal proveedor de tecnología forman parte del mismo grupo corporativo.
Soy un proveedor de tecnología que quiere ser autorizado como proveedor de IFPE mexicanas:
→ La estructura de tu contrato de servicios, tu perfil de acceso a datos y tu documentación técnica influyen en que tu cliente IFPE pueda completar el trámite.
Legal Paradox® ha apoyado a Google, Red Hat y otros en la estructuración de sus contratos con instituciones financieras mexicanas reguladas.
Soy un grupo internacional que entra a México a través de una IFPE:
→ Los proveedores domiciliados en Asia, Estados Unidos o Europa requieren un tratamiento específico de las transferencias internacionales de datos conforme a la LFPDPPP 2025, además de los requisitos estándar de autorización de proveedores.
Legal Paradox® tiene experiencia directa con infraestructura de jurisdicciones del Reino Unido y de Asia dentro de estructuras de IFPE mexicanas.
Tengo varios proveedores por autorizar y necesito una estrategia eficiente:
→ El marco regulatorio común que se construye para el primer proveedor aplica a todos los proveedores siguientes.
Legal Paradox® ofrece paquetes estructurados. Contáctanos para conocer los precios.
Legal Paradox® ha trabajado en todos los ángulos del proceso de autorización de proveedores: como asesor de la IFPE, de proveedores del mismo grupo y de proveedores externos de tecnología, entre ellos Arcus (Mastercard), Fintoc, Google y Red Hat.
Somos coautores de la regulación secundaria de la Ley Fintech. Sabemos qué buscan la CNBV y Banxico en cada documento porque estuvimos en la sala cuando se diseñaron los estándares. Nuestro sistema razona contra un corpus regulatorio verificado que incluye ocho años de trámites ante la CNBV obtenidos mediante las leyes de transparencia de México, y cada trámite que presentamos pasa por la prueba de un agente de revisión adversarial antes de que lo vea la CNBV. En nuestra autorización activa más reciente, entregamos las respuestas a las observaciones dentro de las 24 horas siguientes a su recepción en las dos rondas emitidas hasta la fecha.
Más de 520 proyectos fintech. 9 bancos. 8 unicornios. 4 BigTech. Fintech y regulación financiera como práctica central desde 2017.
Fintech Map: sigue a 830 empresas fintech en México con su estatus regulatorio.
→ mapafintech.com/mx/map
Regulatory Intelligence Dashboard: cada autorización de IFPE e IFC desde 2018, con plazos vinculados al DOF y comparativos por sector.
→ mapafintech.com/dashboard
Legal Paradox® asesora a IFPE, IFC y proveedores de tecnología en el marco mexicano de autorización de proveedores externos: desde la estrategia del trámite y la determinación del tratamiento hasta la preparación de documentos, la revisión adversarial, la presentación ante la CNBV y la respuesta a las rondas de observaciones.
→ Agenda una llamada de evaluación de 45 minutos directamente con un socio senior. Sin sorpresas en la facturación. Acceso directo desde la primera conversación.
¿Todos los proveedores que contrata una IFPE requieren autorización de la CNBV?
No. La regulación aplicable distingue entre proveedores que requieren autorización completa y proveedores que solo requieren un aviso presentado 20 días hábiles antes de la contratación. Algunos proveedores pueden estar exceptuados. La determinación depende de criterios específicos establecidos en las CUIFPEs y debe hacerse caso por caso: no se resuelve aplicando una regla general por categoría.
¿Cuál es el plazo legal para que la CNBV responda una solicitud de autorización?
Las CUIFPEs establecen un plazo de revisión de 25 días hábiles. Si la CNBV y Banxico no responden dentro de ese plazo, la autorización se entiende otorgada (afirmativa ficta). En la práctica, la CNBV casi siempre emite observaciones antes de ese plazo, y por eso el plazo total, desde la primera presentación hasta la resolución, es de seis a ocho meses.
¿Podemos contratar al proveedor mientras el trámite está en proceso?
Es una decisión de administración de riesgos que depende de las circunstancias específicas. Contratar antes de la resolución genera una exposición regulatoria conforme a la Ley Fintech, que incluye posibles sanciones y la responsabilidad personal del director general de la IFPE. Recomendamos resolver la determinación del tratamiento del trámite e iniciarlo antes de celebrar el contrato.
¿Qué pasa si contratamos a un proveedor sin presentar el trámite?
Esto genera una exposición regulatoria retroactiva. Las sanciones conforme a la Ley Fintech van desde multas de 30,000 a 150,000 UMA hasta la suspensión de operaciones o la revocación de la licencia. La respuesta adecuada depende de la situación específica. Legal Paradox® puede evaluar la exposición y recomendar una estrategia de remediación.
Somos un proveedor de tecnología. ¿Este problema es nuestro o de nuestro cliente?
Legalmente, la obligación recae en la IFPE. En la práctica, la estructura de tu contrato de servicios, tu documentación técnica y tu perfil de acceso a datos determinan directamente si tu cliente puede completar el trámite, y cuántas rondas de observaciones se necesitan. Los proveedores que entienden el proceso y se preparan para él cierran tratos más rápido.
¿Existe una excepción para proveedores intragrupo?
Las CUIFPEs prevén una excepción limitada para entidades financieras que a su vez están sujetas a una regulación sustancialmente similar; no es una excepción general intragrupo. Los proveedores tecnológicos u operativos del mismo grupo corporativo que no están regulados por sí mismos están sujetos al marco general de autorización.
¿La conexión directa al SPEI requiere este proceso?
La conexión directa al SPEI es un proceso de autorización separado ante el Banco de México, no ante la CNBV, con su propio marco y requisitos. Se atiende como un asunto distinto.
¿Este proceso es igual para las IFC (plataformas de crowdfunding)?
El marco es similar, pero se rige por la regulación secundaria aplicable a las IFC, no por la de las IFPE. Los requisitos documentales y los criterios de revisión específicos son distintos. Legal Paradox® atiende ambos.
¿Cuáles son las sanciones por incumplimiento?
Las sanciones conforme a la Ley Fintech incluyen multas de 30,000 a 150,000 UMA (aproximadamente de 3.5 a 17.6 millones de pesos a valores de 2026), suspensión de operaciones y revocación de la licencia. Si el proveedor accede a datos personales, pueden aplicar multas adicionales de hasta 320,000 UMA conforme a la NLFPDPPP 2025.
Esta página refleja las disposiciones vigentes de las CUIFPEs (disposiciones conjuntas de la CNBV y Banxico, capítulo V, artículos 44 a 55), el artículo 54 de la Ley Fintech y la
LFPDPPP 2025. Los plazos de referencia (de seis a ocho meses) se basan en la experiencia directa de Legal Paradox® en más de 25 asuntos de autorización de proveedores para IFPE e IFC. Los valores de la UMA corresponden a las cifras oficiales de 2026. Última actualización: abril de 2026.
