Riesgo en derivados: cuándo migrar la valoración a algoritmos postcuánticos
Plazos, costes y dependencias de la transición en mesas de negociación
Las mesas de derivados llevan años conviviendo con modelos de valoración que asumen ciertas primitivas criptográficas como incuestionables. Firmas de órdenes, verificación de contrapartes, integridad de los libros de órdenes: todo eso descansa sobre RSA y curvas elípticas. Un ordenador cuántico con suficientes qubits estables rompería esos supuestos, y la pregunta ya no es si conviene migrar, sino en qué orden y a qué ritmo hacerlo sin paralizar la operativa diaria.
Qué componentes migrar primero
No todo el stack tiene la misma urgencia. Los sistemas con datos de larga vida son los más expuestos: posiciones abiertas a diez o quince años, históricos de contrapartes, registros de auditoría. Ahí el riesgo de cosechar ahora y descifrar después es real. En cambio, las firmas de órdenes intradía tienen una ventana de exposición corta y pueden esperar a que los esquemas híbridos maduren.
Un orden razonable suele empezar por la capa de custodia y los registros regulatorios, seguir por la verificación de contrapartes en operaciones OTC y dejar para el final los canales de baja latencia donde cada microsegundo cuenta.
Esquemas híbridos durante la transición
Nadie sensato apaga RSA de un día para otro. La práctica habitual es combinar un algoritmo clásico con uno postcuántico, de modo que la seguridad dependa del más fuerte de los dos. ML-KEM para intercambio de claves y ML-DSA para firmas son los candidatos que más están apareciendo en pilotos de mesas europeas. El coste: claves más grandes, firmas más lentas y un consumo de ancho de banda que en algunos enlaces dedicados obliga a revisar el dimensionamiento.
La convivencia híbrida también complica la interoperabilidad con contrapartes que aún no han hecho el cambio. Sin un calendario común, cada mesa acaba gestionando dos o tres perfiles criptográficos en paralelo.
Qué piden los reguladores europeos
El marco de criptografía ágil que empuja la UE no impone algoritmos concretos, pero sí exige inventario criptográfico, planes de migración documentados y capacidad de sustituir primitivas sin rediseñar el sistema. Para una mesa de derivados eso significa saber exactamente dónde se usa cada clave, quién la rota y qué dependencias externas arrastra. La auditoría de ese inventario suele ser el primer cuello de botella real, más que la propia matemática postcuántica.
Costes y dependencias que se subestiman
El gasto no está solo en licencias o hardware. Está en la revalidación de modelos, en las pruebas de regresión sobre libros de órdenes, en la formación de los equipos de riesgo y en la coordinación con cámaras de compensación. Una migración mal planificada puede introducir latencias que rompan estrategias de arbitraje o disparar falsos positivos en los controles de contraparte.
La recomendación práctica es tratar la transición como un programa de varios años, con hitos por tipo de instrumento y no por proveedor tecnológico. Empezar por lo que no se puede permitir esperar y dejar el resto para cuando los esquemas estén más rodados.