Stablecoin: atestación frente a auditoría, qué demuestran realmente los informes de reservas

Por qué los informes de reservas de stablecoins confunden a casi todo el mundo

Si alguna vez has comparado USDC, USDT, BUSD o TUSD e intentado averiguar cuál es más seguro, probablemente te has topado con un muro. Cada emisor dice que está respaldado. Cada emisor publica un informe. Y cada emisor llama a ese informe, de manera informal, una auditoría. No son lo mismo, y la distancia entre ambos es lo bastante grande como para cambiar cómo deberías pensar sobre el riesgo de mantener cualquier stablecoin.

La confusión no es accidental. Palabras como auditado, verificado, atestiguado y revisado se usan como sinónimos en el material de marketing, aunque describen servicios con niveles de escrutinio muy diferentes. Una auditoría con seguridad razonable, el tipo que la mayoría de los lectores imaginan al escuchar la palabra, exige que una firma contable reúna evidencias, pruebe controles internos, muestre transacciones y emita una opinión formal. Una atestación, en cambio, puede ser un encargo mucho más limitado en el que la firma expresa un nivel de confianza menor, a menudo sobre una sola fecha, utilizando un conjunto reducido de procedimientos.

Entender la diferencia importa porque las stablecoins custodian billones de dólares acumulados de fondos de usuarios y ya han fracasado. El colapso de TerraUSD en 2022 demostró que las afirmaciones algorítmicas de estar respaldado no valían nada en el momento en que la confianza se rompía. El episodio de BUSD emitido por Paxos mostró un problema distinto: un emisor cuyas reservas estaban atestadas en lugar de auditadas, y cuyo régimen de atestaciones terminó de forma silenciosa cuando los reguladores intervinieron. Si mantienes stablecoins, estás confiando en la declaración del emisor sobre su propia solvencia. El nivel de verificación independiente detrás de esa declaración es la diferencia entre confiar y verificar.

Los verdaderos riesgos de confundir una atestación con una auditoría

El primer riesgo es una falsa sensación de seguridad. Cuando Circle publica un informe y la prensa lo llama auditoría, el lector asume razonablemente que una firma contable ha revisado cada transacción, probado cada control y concluido que USDC es solvente. Lo que la firma realmente ha hecho, en muchos casos, es verificar que, en una fecha concreta, los activos que Circle declaró coincidían, de forma aproximada, con los pasivos que Circle declaró. Eso tiene valor, pero es una afirmación mucho más débil.

El segundo riesgo es la dependencia de la fecha. Un informe de reservas en una fecha concreta, que es lo que son la mayoría de las atestaciones de stablecoins, no dice nada sobre lo que ocurrió el día anterior ni el día siguiente. Si el emisor moviera dinero fuera de las reservas el 31 de marzo a las 23:59 y lo devolviera el 1 de abril a las 00:01, aun así podría emitirse una opinión puntual. No es una preocupación hipotética. Varios emisores de stablecoins han sido criticados por estructurar sus ventanas de reporte para coincidir con saldos favorables.

El tercer riesgo es el problema de que el emisor paga a la firma. La firma contable que firma la opinión es pagada por el emisor de la stablecoin. Esto también ocurre en las auditorías de empresas cotizadas, pero en ese mundo un comité de auditoría formado por directores independientes elige a la firma, y el auditor enfrenta una responsabilidad severa si pasa por alto una inexactitud material. En las atestaciones de stablecoins, el encargo suele ser más limitado, la responsabilidad a menudo está limitada por contrato, y el incentivo de la firma para presionar a un cliente grande puede ser real.

El cuarto riesgo es el precedente de colapso. BUSD estuvo, durante la mayor parte de su vida, atestada en lugar de auditada. Cuando los reguladores de Nueva York obligaron a Paxos a dejar de acuñar BUSD, el régimen de atestaciones simplemente se detuvo, y los tenedores se quedaron preguntándose cómo eran las reservas en el momento de la liquidación. La lección no fue que BUSD fuera un fraude. La lección es que los regímenes de atestaciones pueden desaparecer de la noche a la mañana sin aviso, mientras que las opiniones de auditoría tienen peso legal y continuidad.

Qué es realmente una atestación, en lenguaje sencillo

Una atestación es un servicio realizado por un contador público certificado independiente conforme a las normas profesionales establecidas por el AICPA, el Instituto Americano de Contadores Públicos Certificados. Las normas relevantes se encuentran en las secciones AT-C de la codificación del AICPA. Estas secciones abarcan varias modalidades de atestación, y difieren en la cantidad de trabajo que realiza el contador y en el nivel de confianza que expresa la opinión.

El nivel más común es un encargo de seguridad limitada, a veces llamado atestación de nivel de revisión. El contador realiza indagaciones y procedimientos analíticos, comprueba si las cifras concuerdan con los documentos fuente y emite una opinión que indica si algo llamó su atención que sugiera que las cifras son materialmente erróneas. El lenguaje de la opinión está cuidadosamente matizado: nada llamó nuestra atención, en lugar de estas cifras son correctas.

También existe una atestación de seguridad razonable, que se aproxima a la profundidad de una auditoría, aunque no equivale a una auditoría completa de estados financieros. El contador reúne más evidencia, realiza más pruebas sustantivas y expresa una seguridad positiva: en su opinión, las cifras están presentadas razonablemente. Muchos informes de reservas de stablecoins emitidos por firmas más pequeñas entran en esta categoría, y son más sólidos que los informes de nivel de revisión, pero aún más limitados que una auditoría completa.

El punto crucial es que una atestación se define por el encargo y la norma, no por la palabra en la portada. Si un contador firma un informe y dice que es una atestación bajo la sección AT-C 205 o 210, eso es lo que es, independientemente de cómo lo presente el emisor. Si el informe afirma ser una auditoría pero no sigue las normas de auditoría de las secciones AU-C del AICPA, entonces no es una auditoría, sin importar lo que diga el titular.

Qué es realmente una auditoría, en lenguaje sencillo

Una auditoría se rige por un conjunto diferente de normas, también redactadas por el AICPA, pero en las secciones AU-C en lugar de las secciones AT-C. Estas son las normas utilizadas para auditar empresas públicas en los Estados Unidos, y requieren un nivel de trabajo mucho más profundo que cualquier atestación.

Concretamente, una auditoría exige que el contador obtenga un entendimiento de los controles internos de la entidad, evalúe el riesgo de incorrección material, diseñe procedimientos de auditoría en respuesta a ese riesgo, realice pruebas sustantivas sobre una base muestral, evalúe la continuidad operativa y emita una opinión formal sobre si los estados financieros están presentados razonablemente de conformidad con el marco de información aplicable. La opinión cubre los estados financieros en su conjunto, no solo una fecha o una cifra aislada.

Para los stablecoins, una auditoría completa significaría que la firma ha comprobado si las reservas realmente existían en la fecha del informe, si estaban debidamente controladas por el emisor, si los pasivos coinciden con lo emitido y reembolsado, y si los controles sobre la emisión y quema de tokens funcionan correctamente. La firma también confirma que los activos son lo que el emisor dice que son, lo cual importa para stablecoins que mantienen papel comercial, letras del Tesoro, certificados de depósito y otros instrumentos que varían en liquidez y calidad crediticia.

Solo un pequeño número de emisores de stablecoins han tenido alguna vez una auditoría completa al nivel de seguridad razonable. Circle, el emisor de USDC, ha obtenido históricamente atestaciones en lugar de auditorías completas, aunque ha incrementado gradualmente el rigor de sus informes. Tether, el emisor de USDT, ha publicado atestaciones de forma sistemática y ha rechazado explícitamente obtener una auditoría completa, alegando costo y complejidad. TUSD y BUSD han publicado históricamente atestaciones de firmas más pequeñas. El patrón es consistente: las atestaciones predominan, las auditorías son escasas.

Por qué las auditorías de las Big-4 no equivalen a "totalmente respaldado"

Existe una segunda capa de confusión en la que suelen estar involucradas las firmas contables Big-4 (Deloitte, PwC, EY y KPMG). Cuando una firma Big-4 firma un informe de stablecoin, los lectores a menudo asumen que se ha aplicado el máximo nivel de escrutinio. Por lo general, no es así, porque el encargo de la Big-4 es en sí mismo típicamente una atestación, no una auditoría.

Una atestación de una Big-4 sigue siendo mejor que una atestación de una firma pequeña en varios aspectos. La firma dispone de más recursos, mayor experiencia especializada en instrumentos financieros y una reputación profesional más comprometida. También resulta más difícil para un emisor cambiar de firma silenciosamente si no le gustan las respuestas, porque las Big-4 son menos y la relación es más visible. Pero la norma subyacente, si es AT-C y no AU-C, sigue siendo la norma de atestación, y la opinión sigue diciendo lo que la norma de atestación dice que dice.

Por eso la distinción entre Big-4 y firma pequeña es importante, pero no decisiva. Una atestación de una Big-4 es más sólida que una atestación de una firma pequeña. Una auditoría de seguridad razonable de una Big-4 es más sólida que una atestación de una Big-4. Y ningún informe de ningún tipo demuestra que el emisor haya permanecido solvente cada día del año, solo que la evidencia que la firma examinada respalda la opinión emitida en la fecha en que se emitió.

Para el tenedor de un stablecoin, la conclusión práctica es leer el párrafo de opinión real de cualquier informe de reservas, no solo el titular. Buscar la norma del encargo (sección AT-C 205, 210, 305 o sección AU-C en general), el nivel de seguridad (limitada o razonable), la fecha o período cubierto y el objeto específico de la opinión. Si esos cuatro elementos no se corresponden con lo que dice la comunicación de marketing, el marketing está exagerando.

El precedente de BUSD: cómo es un régimen de atestación no regulado

BUSD es el caso de estudio más claro de por qué los regímenes de atestación no son equivalentes a las auditorías. BUSD fue emitido por Paxos Trust Company, un fideicomiso regulado en Nueva York, y durante la mayor parte de su existencia sus reservas fueron atestadas por una firma contable más pequeña. Los informes estaban etiquetados de forma que sugerían una verificación independiente rigurosa, y generalmente se aceptaban como tales.

Cuando el Departamento de Servicios Financieros de Nueva York ordenó a Paxos dejar de emitir BUSD en febrero de 2023, el régimen de atestación no proporcionó un cierre ordenado. Los tenedores no disponían de estados financieros auditados a los que apelar, ni de una opinión de continuidad operativa, ni de una garantía formal de que las reservas en el momento del cierre coincidieran con los pasivos pendientes. Paxos hizo honor a los reembolsos y el stablecoin se liquidó sin pérdidas para los tenedores, pero ese resultado fue función de la implicación del regulador y de la propia capacidad operativa de Paxos, no del régimen de atestación en sí.

La lección de BUSD es que un régimen de atestación solo es tan sólido como el marco regulatorio que lo rodea. Cuando un regulador interviene, una atestación deja de ser útil porque el emisor ya no puede operar del modo que la atestación asumía. Una auditoría, en cambio, produce un registro histórico con peso legal, y los estados financieros siguen siendo útiles aunque el negocio del emisor cambie de la noche a la mañana.

Por eso también merece la pena comprender la posición de Tether. Tether ha rechazado durante años obtener una auditoría completa y, en su lugar, ha publicado atestaciones de firmas más pequeñas, la más reciente BDO. La elección ha sido deliberada y Tether la ha explicado como una cuestión de costo, complejidad y el hecho de que sus reservas incluyen instrumentos más difíciles de auditar al nivel de seguridad razonable. Sea o no satisfactoria esa explicación, el efecto práctico es que los tenedores de USDT siempre han dependido de una forma de verificación más débil que los tenedores de USDC, independientemente de cómo se describan los informes en los titulares.

Cómo leer un informe de reservas de una stablecoin sin dejarse engañar

El hábito más útil es buscar el párrafo real de la opinión. Suele estar cerca del final del informe, en una sección titulada algo como Informe de contables independientes u Opinión. La opinión indicará qué se examinó, qué norma se siguió y qué nivel de aseguramiento se está expresando. Si el informe no incluye ese párrafo, o lo oculta, eso ya es de por sí una señal.

A continuación, fíjate en la fecha. Un informe fechado el 31 de marzo te indica las reservas a 31 de marzo, no en ninguna otra fecha. Si el emisor afirma estar totalmente respaldado de forma continua, el informe no respalda esa afirmación. Respalda una instantánea.

Después, observa en qué consisten realmente las reservas. Las letras del Tesoro no son lo mismo que el papel comercial, que no es lo mismo que los certificados de depósito, que no es lo mismo que bitcoin, que no es lo mismo que los derechos de cobro. Un informe que dice que las reservas totalizan X mil millones de dólares es menos informativo que aquel que desglosa la composición por clase de activo, vencimiento y calidad crediticia. Las attestations suelen incluir este desglose, pero el nivel de detalle varía mucho.

Por último, comprueba quién firma el informe. Una firma Big-4 no es lo mismo que una firma pequeña, y una larga relación de colaboración con la misma firma no es lo mismo que un encargo nuevo. Los emisores de stablecoins que mantienen relaciones estables y duraderas con sus firmas contables suelen ofrecer una información más coherente que aquellos que cambian de firma con frecuencia. Es una señal sutil, pero merece la pena tenerla en cuenta.

Qué hacer realmente con esta información

Si posees stablecoins, la implicación práctica es que no debes dar por hecho que una stablecoin esté auditada a menos que lo hayas comprobado personalmente. La hipótesis por defecto debería ser que el informe de reservas del emisor es una attestation, que cubre una única fecha y que la firma que lo firma cobra del emisor. Ninguno de estos datos hace que la stablecoin sea insegura, pero deberían marcar tus expectativas.

Para posiciones más grandes, la diferencia importa más. Unos pocos cientos de dólares en USDC son un perfil de riesgo distinto al de unos pocos cientos de miles de dólares en una sola stablecoin, porque las consecuencias de que un régimen de attestation termine de la noche a la mañana escalan con el tamaño de la posición. Diversificar entre más de un emisor es la cobertura más sencilla frente al fallo de un único régimen de attestation.

Nada de esto es asesoramiento financiero, y nada cambia la verdad básica de que las stablecoins conllevan riesgos que ningún informe puede eliminar por completo. Los informes son útiles, y son mucho mejor que nada, pero no son lo mismo que un depósito bancario asegurado por un regulador y no deben tratarse como tal.

Mantente al día de los cambios en la información de las stablecoins

La información de reservas de las stablecoins está evolucionando, con nuevas regulaciones en Estados Unidos, Europa y otros lugares que empujan a los emisores hacia estándares más rigurosos. Los informes que publican los emisores cambiarán de forma y contenido en los próximos años, y los nombres de las firmas que los firman irán rotando. Seguir esos cambios a mano es poco práctico para la mayoría de los usuarios. Zippfeed muestra titulares sobre stablecoins con puntuación de sentimiento y una valoración de importancia, para que puedas ver qué informes de reservas importan de verdad y cuáles son rutinarios.