La integración bancaria se ha convertido en una funcionalidad esencial para numerosas plataformas de software financiero. Sin embargo, acceder a cuentas bancarias, consolidar información y ofrecer servicios de análisis financiero implica una serie de obligaciones regulatorias que muchas empresas todavía no han evaluado.
La Directiva PSD2 y su transposición en España mediante el Real Decreto-ley 19/2018 establecen un marco regulatorio específico para los servicios de información sobre cuentas. Determinar si una plataforma está sujeta a estas obligaciones resulta fundamental para garantizar la seguridad jurídica, proteger la información financiera y evitar posibles incumplimientos.
En este contexto, la auditoría PSD2 y AISP permite evaluar el encaje regulatorio de una plataforma, verificar sus controles de seguridad y documentar el cumplimiento de las obligaciones aplicables.
¿Qué es un AISP y cuándo debe registrarse una empresa?
Un AISP (Account Information Service Provider) es un proveedor de servicios de información sobre cuentas que permite consultar y agregar información de diferentes cuentas de pago accesibles en línea, siempre con el consentimiento del usuario.
Este modelo es habitual en plataformas fintech, herramientas de gestión de tesorería, aplicaciones de consolidación financiera y soluciones SaaS destinadas a empresas o instituciones.
Sin embargo, utilizar un agregador bancario autorizado no significa automáticamente que la plataforma quede fuera de las obligaciones de PSD2.
Es necesario analizar quién presta realmente el servicio, cómo se accede a las cuentas, qué información se obtiene y qué responsabilidades asume cada participante.
Cuando la actividad constituye un servicio de información sobre cuentas sujeto a PSD2, puede resultar obligatorio el registro como AISP ante el Banco de España.
Principales riesgos de incumplimiento de PSD2
La ausencia de un análisis regulatorio adecuado puede generar consecuencias importantes para las empresas que integran información bancaria.
Entre los principales riesgos destacan:
- Riesgo regulatorio: prestación de servicios sujetos a autorización o registro sin cumplir los requisitos correspondientes.
- Riesgo de seguridad: deficiencias en la protección de credenciales, tokens, certificados y datos financieros.
- Riesgo contractual: responsabilidades insuficientemente definidas entre la plataforma, el agregador y el cliente.
- Riesgo probatorio: dificultades para acreditar la conformidad del procedimiento utilizado para obtener información bancaria.
- Riesgo reputacional: pérdida de confianza de bancos, clientes institucionales e inversores.
Por ello, una auditoría independiente no debe limitarse a comprobar aspectos técnicos. También debe determinar qué obligaciones legales corresponden a cada entidad.
¿En qué consiste una auditoría PSD2 y AISP?
Una auditoría especializada permite examinar la actividad de la empresa desde una perspectiva regulatoria, tecnológica y de seguridad de la información.
En Legal Auditors estructuramos este trabajo en cuatro modalidades, adaptadas a la situación de cada organización.
1. Diagnóstico de sujeción a PSD2
Analizamos los flujos de acceso a cuentas bancarias, los contratos, la intervención de proveedores externos y el tratamiento posterior de los datos.
El objetivo es determinar si la empresa debe registrarse como AISP, si puede operar legítimamente a través de un tercero autorizado o si necesita adoptar medidas de adecuación.
2. Acompañamiento al registro como AISP
Cuando resulta necesario registrarse ante el Banco de España, colaboramos en la preparación de la documentación técnica exigida.
Esta incluye políticas de seguridad, evaluaciones de riesgos, procedimientos de gestión de incidentes, continuidad operativa, controles internos y tratamiento de datos sensibles de pago.
3. Auditoría periódica de AISP registrados
Los proveedores registrados deben mantener controles adecuados de seguridad y gestión de riesgos.
Evaluamos aspectos como la autenticación reforzada, los certificados eIDAS, la seguridad de las comunicaciones, los registros de acceso, la gestión de incidentes y las obligaciones aplicables de DORA.
4. Auditoría de integración con un AISP tercero
También auditamos plataformas que utilizan servicios de agregación bancaria proporcionados por entidades registradas.
Revisamos los contratos, el consentimiento del usuario, las API, la gestión de tokens, el cifrado, la conservación de información y el reparto de responsabilidades en materia de protección de datos.
PSD2, DORA y PSD3: un marco regulatorio en evolución
La supervisión del acceso a información bancaria no se limita actualmente a PSD2.
Desde el 17 de enero de 2025, el Reglamento DORA incorpora obligaciones de resiliencia operativa digital para las entidades financieras comprendidas en su ámbito, incluidos los AISP, con un marco simplificado de gestión del riesgo TIC.
Esto exige prestar atención a la gestión de riesgos tecnológicos, los incidentes de seguridad y las relaciones con terceros proveedores TIC.
Paralelamente, el desarrollo del nuevo marco PSD3 y PSR introduce la necesidad de preparar las plataformas para futuros cambios regulatorios en materia de autenticación, acceso a datos y comunicación segura.
Una auditoría correctamente planteada debe evaluar tanto las obligaciones actualmente aplicables como las modificaciones regulatorias previstas.
¿Qué ventajas ofrece una auditoría externa independiente?
Una evaluación independiente aporta beneficios que van más allá de la identificación de incumplimientos.
Permite disponer de un análisis documentado del encaje regulatorio, conocer las vulnerabilidades de la integración bancaria y establecer un plan de adecuación priorizado.
Además, facilita la presentación de evidencias ante bancos, clientes institucionales, departamentos de cumplimiento y terceros interesados.
Conviene recordar que no existe un sello oficial de certificación PSD2 para plataformas de software. Una auditoría privada tampoco sustituye al registro ante el Banco de España cuando este es obligatorio.
Su valor reside en ofrecer una evaluación técnica y regulatoria independiente, respaldada por evidencias verificables.
Legal Auditors: especialistas en auditoría PSD2 y AISP
En Legal Auditors combinamos auditoría de sistemas de información, ciberseguridad, protección de datos y conocimiento de la regulación de servicios de pago.
Nuestros trabajos se desarrollan mediante una metodología basada en riesgos, revisión documental, pruebas técnicas y trazabilidad de evidencias.
El resultado puede incluir un dictamen de encaje regulatorio, un informe de auditoría, un plan de adecuación y documentación de conformidad destinada a terceros, según el alcance contratado.
Contacta con nosotros en info@legalauditors.es
