BCRA e CNBV apertam controles antifraude

Atualização 7 de setembro de 2026: O BCRA incorporou um marco integral de gestão do risco de fraude para bancos e provedores de serviços de pagamento que oferecem contas de pagamento, e esclareceu que os perfis de risco elaborados com informações públicas serão usados para monitoramento transacional, onboarding e revisões KYC. No México, a CNBV detalhou que as consultas de saldo podem ser feitas com um fator de autenticação categoria 2.

O Banco Central da República Argentina incluiu a Seção 6.5, "Gestão do risco de fraude", em suas Diretrizes para a Gestão de Riscos nas Entidades Financeiras. Ao mesmo tempo, colocou em marcha, por meio da Comunicação "A" 8473, uma base pública de dados para detectar movimentações suspeitas ligadas a fraudes e jogo ilegal. No México, a CNBV alterou normas para permitir que bancos enviem códigos de segurança por SMS e simplifiquem algumas consultas de saldo.

O que o BCRA exige de bancos e PSP?

A nova Seção 6.5 obriga as entidades financeiras a manter um Programa Antifraude documentado, com coordenação entre compliance, jurídico, cibersegurança e PLAFT, além de procedimentos de detecção apoiados em soluções tecnológicas, canais de denúncia, protocolos de resposta a incidentes, capacitação e revisão anual. O texto também reforça a integração entre gestão de riscos operacionais, conformidade regulatória e cibersegurança.

A Comunicação "A" 8471, emitida em 27 de agosto de 2026, incorporou um marco integral de gestão do risco de fraude para bancos e para provedores de serviços de pagamento que oferecem contas de pagamento, os PSPCP. Segundo o comunicado oficial do BCRA, os perfis de risco de fraude gerados com informações públicas podem ser usados no monitoramento transacional, no onboarding de clientes e nas revisões periódicas exigidas pelas normas de "conheça seu cliente".

O cronograma da Comunicação "A" 8471, publicado no Boletim Oficial argentino, estabelece que entre 1º de setembro de 2026 e 31 de dezembro de 2026 as entidades devem definir estrutura, políticas e práticas antifraude, papéis e responsabilidades, apetite e tolerância ao risco, além de identificar riscos operacionais e de fraude associados a produtos, serviços, processos, canais digitais e processos críticos. A partir de 1º de janeiro de 2027, os prestadores de serviços de pagamento registrados ou autorizados pelo BCRA que antes não estavam abrangidos deverão designar uma unidade ou responsável específico, fazer uma autoavaliação, desenvolver um plano de mitigação e cumprir o item 6.4 sobre tecnologia e segurança da informação.

Como funcionará a base pública de dados do BCRA?

A Comunicação "A" 8473 prevê que as administradoras de transferências imediatas usem uma nova base pública para detectar contas vinculadas a fraudes e jogo ilegal, e para alertar bancos e carteiras virtuais. Segundo a cobertura citada, o objetivo declarado é conter golpes virtuais e combater o jogo clandestino por meio da detecção precoce de contas que canalizem fundos para sites de apostas não autorizados.

De acordo com as informações publicadas, Coelsa, NewPay, Red Link e Interbanking usarão essa base para elaborar perfis de risco de fraude por pessoa. Esses perfis ficarão disponíveis, sem custo, para entidades financeiras e PSP, para o monitoramento diário de transações e a abertura de clientes.

O comunicado oficial do BCRA em inglês acrescentou que esses perfis de risco de fraude serão usados para monitoramento transacional, onboarding e revisões periódicas KYC, e que a implantação será gradual.

O que mudou no México com a CNBV?

A Comissão Nacional Bancária e de Valores alterou as regras aplicáveis a instituições de crédito para permitir o envio de códigos de segurança, fator de autenticação categoria 3, por SMS, e-mail ou serviços de mensagens instantâneas criptografadas. Para operações de maior risco, continua valendo o uso combinado de fatores de autenticação.

As reformas aos artigos 319 Bis 2, 319 Bis 3 e 319 Bis 5 também autorizam que, para consultas de saldos e movimentos por meio de comissionistas de base tecnológica, seja usado apenas o fator de autenticação categoria 2. Veículos especializados no México indicam que as instituições terão de atualizar aplicativos, políticas de segurança, avisos ao cliente, rastreabilidade das autenticações e mecanismos para alterar fatores e meios de contato.

A resolução que modifica os artigos 319 Bis 2, 319 Bis 3 e 319 Bis 5 incorpora de forma explícita a figura dos comissionistas de base tecnológica e delimita o catálogo de operações que podem realizar, incluindo abertura de contas de nível baixo, transferências associadas, créditos de até 3.000 UDIs, pagamentos de bens e serviços e consultas de saldos e movimentos.

O texto divulgado a partir do DOF destaca como objetivo regulatório a necessidade de um esquema de autenticação diferenciado para operações de menor risco, como consultas, realizadas por meio de comissionistas de base tecnológica. Isso estabelece uma abordagem de gestão de risco por tipo de operação dentro da banca digital e fintech.

As modificações também permitem que os usuários consultem o saldo de suas contas por aplicativos e comissionistas de base tecnológica usando apenas um Fator de Autenticação Categoria 2, ou seja, senha ou PIN, sem exigir o fator de categoria 3 para essa operação específica.

A resolução da CNBV fixa em seu dispositivo transitório único que as novas regras de envio de fatores de autenticação e uso de SMS entram em vigor em 2 de setembro de 2026. Expansão e XEU acrescentaram que, a partir dessa data, os bancos podem enviar por SMS um dos códigos usados para comprovar a identidade do cliente em certas operações feitas por meio de comissionistas tecnológicos, como aplicativos móveis e sites web.

Que alcance regional essa leva de mudanças deixa?

As medidas de Argentina e México levam bancos, carteiras e prestadores de serviços de pagamento a reforçar controles de fraude, autenticação e rastreabilidade sobre operações digitais. Na Argentina, o foco ficou na governança do risco, na coordenação interna e na troca de sinais de fraude. No México, a novidade passou por ampliar os canais para entrega de fatores de autenticação e ajustar os esquemas de verificação para operações digitais.

O que diz a resolução que modifica as disposições gerais aplicáveis às instituições de crédito?

A resolução da CNBV modifica as disposições gerais aplicáveis às instituições de crédito para permitir novos esquemas de autenticação em operações digitais. Em particular, autoriza o envio de códigos de segurança por SMS e ajusta a autenticação para consultas de saldo e movimentos feitas por meio de comissionistas de base tecnológica.

O texto reformou os artigos 319 Bis 2, 319 Bis 3 e 319 Bis 5, e determinou que, para certas consultas de saldo, seja usado o fator de autenticação categoria 2. Também incorporou de forma explícita a figura dos comissionistas de base tecnológica e delimitou quais operações podem realizar, entre elas abertura de contas de nível baixo, transferências associadas e consultas de saldos e movimentos.