BCRA amplia controle de fraude a PSP

Atualização 2 de setembro de 2026: o alcance da Comunicação A 8471 ficou confirmado para entidades financeiras, Provedores de Serviços de Pagamento que oferecem Contas de Pagamento (PSPCP) e outros Provedores de Serviços de Pagamento registrados no BCRA. Além disso, uma análise jurídico-técnica ratificou que o esquema de implementação chega à vigência plena em 1º de setembro de 2027.

O Banco Central da República Argentina aprovou a Comunicação A 8471, que incorpora um marco integral de gestão do risco de fraude dentro da gestão do risco operacional para entidades financeiras, Provedores de Serviços de Pagamento que oferecem Contas de Pagamento (PSPCP) e outros Provedores de Serviços de Pagamento registrados no BCRA. A norma prevê um Programa Antifraude documentado, uma Função de Gestão do Risco de Fraude e um esquema de implementação em quatro etapas, com conclusão em 1º de setembro de 2027.

O que exige a nova norma do BCRA?

A Comunicação A 8471 exige que as entidades definam um Programa Antifraude com responsabilidades formais, procedimentos de detecção, canais de denúncia e uma base centralizada de incidentes, além de coordenação entre compliance, jurídico, cibersegurança e PLAFT. A regra também prevê revisão anual do programa e permite que a função específica de fraude seja integrada à unidade de risco operacional já existente.

Segundo o estudo jurídico citado, a Etapa 1 vai de 1º de setembro a 31 de dezembro de 2026 e obriga a estabelecer o marco de gestão, papéis, apetite e tolerância ao risco, junto com uma identificação preliminar de riscos e processos críticos. A Etapa 4 marca a vigência plena a partir de 1º de setembro de 2027, o que deixa margem para adaptar controles internos e soluções tecnológicas.

Como isso impacta carteiras digitais e pagamentos?

Em paralelo, o BCRA exige que as carteiras digitais interoperáveis estejam inscritas no Registro de Carteiras Digitais Interoperáveis para poder operar no sistema financeiro argentino. As que também oferecem criptoativos devem constar como PSAV na Comissão Nacional de Valores. O relatório mensal de pagamentos de varejo de julho de 2026 registrou 91 carteiras interoperáveis e 64 aceitores de pagamentos com transferência.

A cobertura jornalística também atribui ao BCRA uma atualização de normas de riscos tecnológicos que incluiria autenticação com dupla etapa para carteiras digitais, além de medidas de mitigação de fraude e gestão do consentimento do cliente. Essa nota não informou o número da comunicação aplicável.

O que está mudando no México?

No México, a CNBV e o Banxico colocaram em consulta pública um projeto de Disposições de Caráter Geral Aplicáveis às Redes de Meios de Disposição para limitar as tarifas que bancos e instituições emissoras recebem por pagamentos com cartão. A consulta segue aberta até 24 de setembro de 2026, às 18h, e a versão vigente continua sendo uma proposta sujeita a comentários.

O modelo foi suavizado em relação ao rascunho inicial e prevê redução gradual. De acordo com coberturas especializadas, os tetos convergirão para 1,30% no caso de cartões de crédito e 10,80 pesos por operação para cartões que não sejam de crédito, com limite acumulado de 0,30% do valor total das operações para esses últimos. Outra versão jornalística acrescentou que, após 12 meses, os limites intermediários cairiam para 1,40% e 11,80 pesos, antes de chegar aos máximos finais.

No campo da autenticação, uma nota explicativa sobre a reforma da Circular Única de Bancos informa que a resolução publicada em 1º de julho de 2026 entrou em vigor em 2 de julho e concedeu 90 dias úteis para adequar processos, infraestrutura e protocolos aos novos requisitos biométricos. A mesma cobertura afirma que o reconhecimento facial passou a ter o mesmo status jurídico da impressão digital e que, para depósitos ou saques em dinheiro iguais ou superiores a 140.000 pesos em uma única operação, será obrigatória uma identificação oficial vigente e ao menos um dado biométrico.

Quais outras regras de compliance já estão em vigor?

No México, a Bolsa Mexicana de Valores revisa todos os anos os requisitos mínimos de manutenção para emissores listados, de acordo com o artigo 28 das Disposições aplicáveis a emissores e outros participantes do mercado de valores emitidas pela CNBV. Além disso, para as SOFOM ENR, as obrigações de identificação de clientes e compliance se apoiam principalmente no artigo 95 Bis da Lei Geral de Organizações e Atividades Auxiliares de Crédito, sob supervisão da CNBV, o que inclui onboarding e assinatura digital.

Datos adicionales sobre la Comunicación A 8471 y la reforma mexicana

La Comunicación A 8471 foi publicada no Boletín Oficial em 1º de setembro de 2026, com data de aviso oficial de 27 de agosto. O texto do Banco Central da República Argentina incorpora de forma explícita a fraude interna e externa dentro do risco operacional e o vincula à avaliação da suficiência de capital diante desses eventos. Também fixa relatórios ao Conselho de Administração com periodicidade semestral para risco operacional e trimestral para fraude.

O esquema de monitoramento previsto pela norma soma indicadores-chave, incidentes relevantes, métricas, medidas corretivas, novas metodologias detectadas e oportunidades de melhoria. Além disso, o programa antifraude documentado prevê coordenação entre áreas, canais de denúncia, protocolos de incidentes, capacitação e revisão anual.

No México, a CNBV publicou em 1º de setembro de 2026 uma resolução que altera as Disposições de caráter geral aplicáveis às instituições de crédito e autoriza o envio de tokens ou chaves de confirmação por SMS para o celular registrado do cliente em determinadas operações. Segundo a cobertura consultada, essa resolução entra em vigor em 2 de setembro de 2026.

A UNO TV informou que a mudança permite que os bancos enviem códigos de segurança por SMS para autenticar certas operações digitais. A ABC Noticias, por sua vez, afirmou que a CNBV autorizou o envio de tokens ou chaves de confirmação por SMS ao celular registrado do cliente, dentro do regime de autenticação da normativa secundária bancária.

Más precisiones sobre la reforma mexicana y el cronograma del BCRA

No México, a modificação da CNBV permite enviar códigos de autenticação por SMS para determinadas operações realizadas por meio de comissários de base tecnológica. A cobertura da MSN México indicou que a entrada em vigor ocorreu no dia seguinte à publicação e que a aplicação começou em 2 de setembro de 2026. Nesse mesmo esquema, a exceção para consultas de saldos e movimentos autoriza as instituições a exigir apenas o Fator de Autenticação Categoria 2, sem pedir também o segundo fator da Categoria 3.

A Startup Researcher acrescentou que o SMS foi habilitado como canal adicional de entrega de fatores de autenticação de categoria 3 ao número de celular registrado do cliente, mantendo o esquema de fatores e reforçando a rastreabilidade da autenticação. A Uno TV disse que a mudança exigiu ajustes operacionais em aplicativos e sites, e recomendou manter atualizado o número de celular cadastrado e ativar notificações para detectar transações não reconhecidas.

Na Argentina, a Comunicação A 8471 define uma primeira etapa entre 1º de setembro de 2026 e 31 de dezembro de 2026 para estabelecer estrutura, estratégias, políticas antifraude, papéis, responsabilidades, apetite e tolerância ao risco, e identificação preliminar de riscos e processos críticos. A norma também inclui uma fase de autoavaliação e entrega de relatório final entre 1º de junho de 2027 e 31 de agosto de 2027, antes da vigência plena em 1º de setembro de 2027.

O cronograma fica organizado em três momentos concretos. Primeiro, a etapa inicial. Depois, a autoavaliação e o relatório final. Por fim, a vigência plena. O Boletín Oficial respaldou esse esquema, enquanto a análise jurídica especializada destacou que o encerramento do processo fica fixado para 1º de setembro de 2027.

Uma cobertura especializada sobre o Banxico, atribuída à Capital Negocios, afirmou que o banco central teria emitido circulares e disposições para reforçar requisitos mínimos de cibersegurança em entidades reguladas, incluindo IFPE e IFC. A mesma nota indicou marcos baseados em padrões internacionais, continuidade de negócio e relatórios de incidentes em prazos específicos. Segundo essa publicação, o objetivo declarado dessas mudanças é elevar a resiliência operacional do ecossistema de pagamentos.

Alcance operacional e cruzamentos regulatórios

A Comunicação A 8471 acrescenta pela primeira vez uma seção específica de Gestão do risco de fraude aos Lineamientos para la Gestión de Riesgos en las Entidades Financieras. Segundo Bruchou & Funes de Rioja, o marco exige um Programa Antifraude documentado que articule compliance, jurídico, cibersegurança e PLAFT, com detecção apoiada em soluções tecnológicas, canais de denúncia, protocolos de resposta a incidentes, capacitação e revisão anual.

O mesmo estudo jurídico descreve um esquema de implementação em três etapas. A Etapa 3, entre 1º de junho de 2027 e 31 de agosto de 2027, fica reservada para a autoavaliação do cumprimento integral dos requisitos aplicáveis e a apresentação de um relatório final pelas entidades.

O texto oficial publicado no Boletín Oficial esclarece ainda que, desde 1º de janeiro de 2027, os demais provedores de serviços de pagamento registrados e ou autorizados pelo BCRA devem designar uma função de gestão do risco de fraude, realizar uma autoavaliação do risco de fraude, desenvolver um plano de mitigação e se alinhar às normas de riscos de tecnologia e segurança da informação do ponto 6.4. Bruchou & Funes de Rioja acrescenta que essa Função de Gestão do Risco de Fraude deve coordenar com órgãos externos, manter uma base de dados centralizada de incidentes e liderar a capacitação interna.

A agenda regulatória aparece, além disso, vinculada a um decreto de Open Finance. De acordo com El Cronista, esse esquema designa o BCRA como autoridade de aplicação para definir parâmetros, padrões e requisitos sob os quais as pessoas poderão compartilhar, mediante consentimento expresso, suas informações com entidades financeiras registradas. Em paralelo, a Comunicação A 8406, que cria o esquema de Cobro con Transferencia como substituto do DEBIN programado, também impacta a gestão de fraude e a proteção do usuário.

Sobre esse ponto, Mario Vadillo afirmou que a entidade emissora do crédito só pode debitar a parcela da mesma conta bancária em que o empréstimo foi creditado, o que limita a possibilidade de débitos inesperados de outras contas ou carteiras. A Econoblog, por sua vez, acrescentou que o novo esquema permite a cobrança de créditos com carteiras virtuais em bancos, mas restrita a entidades financeiras e provedores não financeiros de crédito habilitados pelo BCRA.

Mais dados sobre o cronograma e os controles contra a fraude

A Comunicação A 8471 incorporou a Seção 6.5, "Gestión del riesgo de fraude", ao texto ordenado "Lineamientos para la Gestión de Riesgos en las Entidades Financieras" do Banco Central da República Argentina. O regime também estabelece que, entre 01/09/2026 e 31/12/2026, as entidades devem definir o marco de gestão do risco operacional, incluindo a prevenção do risco de fraude, e que, entre 01/01/2027 e 31/05/2027, deverão documentar processos e procedimentos de identificação, avaliação, monitoramento, controle e mitigação de riscos operacionais e de fraude em processos críticos.

A etapa final do cronograma, entre 01/06/2027 e 31/08/2027, fica reservada para a autoavaliação do cumprimento integral da Seção 6. Depois disso, a vigência plena passará a valer desde 01/09/2027. De acordo com o Boletín Oficial, antes desse ponto haverá diferentes etapas de adequação para entidades financeiras e outros atores alcançados.

A Comunicação A 8473 endurece os controles sobre transferências imediatas para gerenciar o risco de fraude e detectar possíveis contas vinculadas a operações suspeitas e a atividades de jogo ilegal. A implementação será gradual a partir de setembro de 2026. Segundo um comunicado oficial em inglês do BCRA, os administradores de transferências imediatas receberão um conjunto de dados públicos para fortalecer suas ferramentas de análise e monitoramento.

Com essas informações, esses administradores deverão construir perfis de risco de fraude por pessoa e colocá-los à disposição, sem custo, de entidades financeiras e PSPCP para monitoramento transacional, onboarding e revisões periódicas de KYC. O novo esquema de Cobro con Transferencia substitui o Débito Imediato e foi desenhado com restrições operacionais específicas: a autorização de débito só pode ser feita a partir da conta em que o crédito foi desembolsado, as parcelas devem ser fixas e idênticas e vale um teto de 30% da renda declarada do cliente.

Além disso, as tentativas de cobrança ficam limitadas a uma na data de vencimento e dois reenvios após 48 e 96 horas. Também deve haver notificação do débito com um dia útil de antecedência e existe a possibilidade de stop-debit imediato por canais digitais. Segundo o Blog del Contador/SIAP, a operação não terá reversões e a responsabilidade diante da fraude recairá sobre a entidade ou o provedor que ordenar a cobrança.