BCRA amplía el control de fraude a PSP

Actualización 2 de septiembre de 2026: el alcance de la Comunicación A 8471 quedó confirmado para entidades financieras, Proveedores de Servicios de Pago que ofrecen Cuentas de Pago (PSPCP) y otros Proveedores de Servicios de Pago registrados ante el BCRA. Además, un análisis jurídico-técnico ratificó que el esquema de implementación llega a vigencia plena el 1 de septiembre de 2027.

El Banco Central de la República Argentina aprobó la Comunicación A 8471, que incorpora un marco integral de gestión del riesgo de fraude dentro de la gestión del riesgo operacional para entidades financieras, Proveedores de Servicios de Pago que ofrecen Cuentas de Pago (PSPCP) y otros Proveedores de Servicios de Pago registrados ante el BCRA, con un Programa Antifraude documentado, una Función de Gestión del Riesgo de Fraude y un esquema de implementación en cuatro etapas que culmina el 1 de septiembre de 2027.

¿Qué exige la nueva norma del BCRA?

La Comunicación A 8471 exige que las entidades definan un Programa Antifraude con responsabilidades formales, procedimientos de detección, canales de denuncia y una base centralizada de incidentes, además de coordinación entre cumplimiento, legales, ciberseguridad y PLAFT. También prevé revisión anual del programa y la posibilidad de que la función específica de fraude se integre a la unidad de riesgo operacional ya existente.

Según el estudio jurídico citado, la Etapa 1 corre del 1 de septiembre al 31 de diciembre de 2026 y obliga a fijar el marco de gestión, roles, apetito y tolerancia al riesgo, junto con una identificación preliminar de riesgos y procesos críticos. La Etapa 4 marca la vigencia plena a partir del 1 de septiembre de 2027, por lo que el cronograma deja margen para adaptar controles internos y soluciones tecnológicas.

¿Cómo impacta en billeteras digitales y pagos?

En paralelo, el BCRA exige que las billeteras digitales interoperables estén inscriptas en el Registro de Billeteras Digitales Interoperables para poder operar en el sistema financiero argentino, y que las que también ofrecen criptoactivos figuren como PSAV ante la Comisión Nacional de Valores. El informe mensual de pagos minoristas de julio de 2026 registró 91 billeteras interoperables y 64 aceptadores de pagos con transferencia.

La cobertura periodística también atribuye al BCRA una actualización de normas de riesgos tecnológicos que incorporaría autenticación con doble factor para billeteras digitales, junto con medidas de mitigación de fraude y gestión del consentimiento del cliente. Esa nota no precisó el número de la comunicación aplicable.

¿Qué está cambiando en México?

En México, la CNBV y Banxico pusieron a consulta pública un proyecto de Disposiciones de Carácter General Aplicables a las Redes de Medios de Disposición para limitar las cuotas que reciben bancos e instituciones emisoras por pagos con tarjeta. La consulta permanece abierta hasta el 24 de septiembre de 2026 a las 18:00 horas, y la versión vigente sigue siendo una propuesta sujeta a comentarios.

El esquema fue suavizado frente al borrador inicial y prevé una reducción gradual. De acuerdo con coberturas especializadas, los topes convergerán en 1.30% para tarjetas de crédito y 10.80 pesos por operación para tarjetas no de crédito, con un límite acumulado de 0.30% del valor total de las operaciones para estas últimas. Otra versión periodística agregó que tras 12 meses los límites intermedios bajarían a 1.40% y 11.80 pesos, antes de alcanzar los máximos finales.

En el frente de autenticación, una nota explicativa sobre la reforma a la Circular Única de Bancos indica que la resolución publicada el 1 de julio de 2026 entró en vigor el 2 de julio y otorga 90 días hábiles para adecuar procesos, infraestructura y protocolos a los nuevos requisitos biométricos. La misma cobertura afirma que el reconocimiento facial quedó al mismo nivel jurídico que la huella dactilar y que, para depósitos o retiros en efectivo iguales o superiores a 140,000 pesos en una sola operación, será obligatoria una identificación oficial vigente y al menos un dato biométrico.

¿Qué otras reglas de cumplimiento ya están vigentes?

En México, la Bolsa Mexicana de Valores revisa cada año los requisitos mínimos de mantenimiento para emisoras listadas, de acuerdo con el artículo 28 de las Disposiciones aplicables a emisoras y otros participantes del mercado de valores emitidas por la CNBV. Además, para las SOFOM ENR, las obligaciones de identificación de clientes y cumplimiento se apoyan principalmente en el artículo 95 Bis de la Ley General de Organizaciones y Actividades Auxiliares del Crédito, bajo supervisión de la CNBV, lo que incluye onboarding y firma digital.

Datos adicionales sobre la Comunicación A 8471 y la reforma mexicana

La Comunicación A 8471 fue publicada en el Boletín Oficial el 1 de septiembre de 2026, con fecha de aviso oficial del 27 de agosto. El texto del Banco Central de la República Argentina incorpora de manera explícita el fraude interno y externo dentro del riesgo operacional, y lo vincula con la evaluación de la suficiencia de capital frente a esos eventos. También fija reportes al Directorio con frecuencia semestral para riesgo operacional y trimestral para fraude.

El esquema de monitoreo previsto por la norma suma indicadores clave, incidentes relevantes, métricas, medidas correctivas, nuevas metodologías detectadas y oportunidades de mejora. Además, el programa antifraude documentado contempla coordinación entre áreas, canales de denuncia, protocolos de incidentes, capacitación y revisión anual.

En México, la CNBV publicó el 1 de septiembre de 2026 una resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito y habilita el envío de tokens o claves de confirmación por SMS al celular registrado del cliente en determinadas operaciones. Según la cobertura consultada, esa resolución entra en vigor el 2 de septiembre de 2026.

UNO TV informó que la modificación permite que los bancos envíen códigos de seguridad por SMS para autenticar ciertas operaciones digitales. ABC Noticias, por su parte, señaló que la CNBV autorizó el envío de tokens o claves de confirmación por SMS al celular registrado del cliente, dentro del régimen de autenticación de la normativa secundaria bancaria.

Más precisiones sobre la reforma mexicana y el cronograma del BCRA

En México, la modificación de la CNBV permite enviar códigos de autenticación por SMS para determinadas operaciones realizadas a través de comisionistas de base tecnológica. La cobertura de MSN México indicó que la entrada en vigor fue al día siguiente de la publicación y que la aplicación comenzó el 2 de septiembre de 2026. En ese mismo esquema, la excepción para consultas de saldos y movimientos habilita a las instituciones a pedir solo el Factor de Autenticación Categoría 2, sin exigir además el segundo factor de Categoría 3.

Startup Researcher agregó que el SMS quedó habilitado como canal adicional de entrega de factores de autenticación de categoría 3 al número móvil registrado del cliente, manteniendo el esquema de factores y reforzando la trazabilidad de la autenticación. Uno TV señaló que el cambio obligó a ajustes operativos en apps y páginas web, y recomendó mantener actualizado el número celular registrado y activar notificaciones para detectar transacciones no reconocidas.

En Argentina, la Comunicación A 8471 fija una primera etapa entre el 1 de septiembre de 2026 y el 31 de diciembre de 2026 para definir estructura, estrategias, políticas antifraude, roles, responsabilidades, apetito y tolerancia al riesgo, e identificación preliminar de riesgos y procesos críticos. También incorpora una instancia de autoevaluación y presentación de informe final entre el 1 de junio de 2027 y el 31 de agosto de 2027, antes de la vigencia plena desde el 1 de septiembre de 2027.

El cronograma queda ordenado en tres momentos concretos. Primero, la etapa inicial. Después, la autoevaluación e informe final. Finalmente, la vigencia plena. El Boletín Oficial respaldó ese esquema, mientras que el análisis jurídico especializado destacó que el cierre del proceso queda fijado para el 1 de septiembre de 2027.

Una cobertura especializada sobre Banxico, atribuida a Capital Negocios, sostuvo que el banco central habría emitido circulares y disposiciones para reforzar requisitos mínimos de ciberseguridad en entidades reguladas, incluyendo IFPE e IFC. Esa misma nota indicó marcos basados en estándares internacionales, continuidad de negocio y reportes de incidentes en plazos específicos. Según esa publicación, el objetivo declarado de esos cambios es elevar la resiliencia operativa del ecosistema de pagos.

Alcance operativo y cruces regulatorios

La Comunicación A 8471 suma por primera vez una sección específica de Gestión del riesgo de fraude dentro de los Lineamientos para la Gestión de Riesgos en las Entidades Financieras. Según Bruchou & Funes de Rioja, el marco exige un Programa Antifraude documentado que articule cumplimiento, legales, ciberseguridad y PLAFT, con detección apoyada en soluciones tecnológicas, canales de denuncia, protocolos de respuesta a incidentes, capacitación y revisión anual.

Ese mismo estudio jurídico describe un esquema de implementación en tres etapas. La Etapa 3, entre el 1 de junio de 2027 y el 31 de agosto de 2027, queda reservada para la autoevaluación del cumplimiento integral de los requisitos aplicables y la presentación de un informe final por parte de las entidades.

El texto oficial publicado en el Boletín Oficial aclara además que, desde el 1 de enero de 2027, los demás proveedores de servicios de pago registrados y o autorizados por el BCRA deben asignar una función de gestión del riesgo de fraude, realizar una autoevaluación del riesgo de fraude, desarrollar un plan de mitigación y alinearse con las normas de riesgos de tecnología y seguridad de la información del punto 6.4. Bruchou & Funes de Rioja agrega que esa Función de Gestión del Riesgo de Fraude debe coordinar con organismos externos, mantener una base de datos centralizada de incidentes y liderar la capacitación interna.

La agenda regulatoria aparece, además, vinculada con un decreto de Open Finance. De acuerdo con El Cronista, ese esquema designa al BCRA como autoridad de aplicación para definir parámetros, estándares y requisitos bajo los cuales las personas podrán compartir, mediante consentimiento expreso, su información con entidades financieras inscriptas. En paralelo, la Comunicación A 8406, que crea el esquema de Cobro con Transferencia como reemplazo del DEBIN programado, también impacta en la gestión de fraude y la protección del usuario.

Sobre ese punto, Mario Vadillo sostuvo que la entidad emisora del crédito solo puede debitar la cuota de la misma cuenta bancaria donde acreditó el préstamo, lo que limita la posibilidad de débitos sorpresivos desde otras cuentas o billeteras. Econoblog, por su parte, agregó que el nuevo esquema habilita el cobro de créditos con billeteras virtuales en bancos, aunque restringido a entidades financieras y proveedores no financieros de crédito habilitados por el BCRA.

Más datos sobre el cronograma y los controles contra el fraude

La Comunicación "A" 8471 incorporó la Sección 6.5, "Gestión del riesgo de fraude", al texto ordenado "Lineamientos para la Gestión de Riesgos en las Entidades Financieras" del Banco Central de la República Argentina. El régimen también fija que entre el 01/09/2026 y el 31/12/2026 las entidades deben establecer el marco de gestión del riesgo operacional, incluyendo la prevención del riesgo de fraude, y entre el 01/01/2027 y el 31/05/2027 deberán documentar procesos y procedimientos de identificación, evaluación, seguimiento, control y mitigación de riesgos operacionales y de fraude en procesos críticos.

El tramo final del cronograma, entre el 01/06/2027 y el 31/08/2027, queda reservado para la autoevaluación del cumplimiento integral de la Sección 6. Luego, la vigencia plena regirá desde el 01/09/2027. De acuerdo con el Boletín Oficial, antes de ese punto habrá distintas etapas de adecuación para entidades financieras y otros actores alcanzados.

La Comunicación A 8473 endurece los controles sobre transferencias inmediatas para gestionar el riesgo de fraude y detectar posibles cuentas vinculadas a operaciones sospechosas y a actividades de juego ilegal. Su implementación será gradual desde septiembre de 2026. Según un comunicado oficial en inglés del BCRA, los administradores de transferencias inmediatas recibirán un conjunto de datos públicos para fortalecer sus herramientas de análisis y monitoreo.

Con esa información, esos administradores deberán construir perfiles de riesgo de fraude por persona y ponerlos a disposición, sin costo, de entidades financieras y PSPCP para monitoreo transaccional, onboarding y revisiones periódicas de KYC. El nuevo esquema de Cobro con Transferencia reemplaza al Débito Inmediato y quedó diseñado con restricciones operativas precisas: la autorización de débito solo puede hacerse desde la cuenta donde se desembolsó el crédito, las cuotas deben ser fijas e idénticas y rige un tope del 30% del ingreso declarado del cliente.

Además, los intentos de cobro se limitan a uno en la fecha de vencimiento y dos reintentos a las 48 y 96 horas. También debe notificarse el débito con un día hábil de anticipación y existe la posibilidad de stop-debit inmediato por canales digitales. Según Blog del Contador/SIAP, la operatoria no tendrá reversas y la responsabilidad frente al fraude recaerá sobre la entidad o proveedor que ordene el cobro.