Síntesis
La Comunicación "A" 8471 del BCRA (27/08/2026) extiende a los proveedores de servicios de pago que ofrecen cuentas de pago la gestión del riesgo operacional y, dentro de ella, la del riesgo de fraude interno y externo; a todos los demás PSP les exige la gestión del riesgo de fraude. Hasta ahora ese marco regía para las entidades financieras.
- PSP que ofrecen cuentas de pago (PSPCP): deben cumplir la Sección 6 de los Lineamientos para la Gestión de Riesgos en las Entidades Financieras, en tres etapas. La primera corre del 01/09/26 al 31/12/26 y la vigencia plena empieza el 01/09/27.
- Demás PSP registrados o autorizados: desde el 01/01/27 tienen cuatro obligaciones: asignar la función de gestión del riesgo de fraude, con todos los deberes del punto 6.5.2; autoevaluación; plan de mitigación; y tecnología y seguridad de la información.
- Entidades financieras: el nuevo punto 6.5 y los ajustes de gobierno societario rigen desde el 01/12/26.
La implementación es proporcional a la dimensión, la complejidad de la operatoria y el perfil de riesgo de cada PSP. La norma exige monitoreos sustentados en tecnología, pero no prescribe una herramienta ni una estructura determinadas: exige que el riesgo esté gestionado y que eso se pueda demostrar.
Qué exige la norma
El nuevo punto 6.5 pide un proceso integral, eficaz y sostenible de gestión del riesgo de fraude, dentro del marco de riesgo operacional. Se apoya en tres piezas.
1. Programa antifraude documentado
Un proceso que integra prevención, detección, respuesta, resolución y aprendizaje, con recursos asignados. Como mínimo incluye coordinación con cumplimiento, legales, ciberseguridad y PLA/FT; monitoreos sustentados en tecnología; canales de denuncia; protocolos ante incidentes; capacitación según la exposición al riesgo, y una revisión al menos anual, con intervención de auditoría interna o instancia equivalente antes de la aprobación del Directorio.
2. Función de gestión del riesgo de fraude
Una unidad o una persona responsable, que puede ser la misma de riesgo operacional. Elabora el programa y el plan de respuesta, capacita al personal, comunica a la SEFyC las nuevas tipologías de fraude, mantiene una base única de denuncias con trazabilidad y reporta y consulta a la Central de Prevención de Fraude (CPF). Debe depender de la Gerencia General o de un nivel con capacidad decisoria en riesgos, ser independiente de las unidades de negocio y no estar a cargo de la auditoría interna.
3. Gobierno
El Directorio aprueba la estrategia, las políticas y las prácticas antifraude, y define el apetito y la tolerancia al riesgo contemplando específicamente el fraude. La Alta Gerencia asegura la implementación y le reporta como mínimo cada trimestre sobre fraude, con indicadores, incidentes, medidas correctivas y oportunidades de mejora.
Cronograma para PSP con cuenta de pago
| Etapa | Período | Qué debe estar hecho | Entregable |
|---|---|---|---|
| 1 | 01/09/26 al 31/12/26 | Marco de gestión del riesgo operacional y de fraude: estructura, estrategia, políticas, responsables, apetito de riesgo, identificación preliminar de riesgos y procesos críticos. | Informe de cumplimiento a la SEFyC |
| 2 | 01/01/27 al 31/05/27 | Procesos y procedimientos documentados para gestionar los riesgos en los procesos críticos. | Informe de cumplimiento a la SEFyC |
| 3 | 01/06/27 al 31/08/27 | Autoevaluación del cumplimiento integral de la Sección 6. | Informe final firmado por la máxima autoridad, con informe especial de auditor externo |
| Vigencia plena | Desde el 01/09/27 | Régimen completo en operación. | — |
Los demás PSP registrados o autorizados, desde el 01/01/27, deben asignar la función de gestión del riesgo de fraude, con todos los deberes del punto 6.5.2 (programa antifraude, plan de respuesta, base única de denuncias, reporte y consulta a la CPF, entre otros); hacer una autoevaluación del riesgo de fraude (riesgo inherente, eficacia de los controles y riesgo residual); desarrollar un plan de mitigación, y cumplir el punto 6.4 de los Lineamientos, sobre gestión de los riesgos de tecnología y seguridad de la información.
Normas vinculadas
La "A" 8471 no opera sola. La Comunicación "B" 13117 (10/02/2026) aclara que reportar a la CPF los eventos de fraude, y consultarla en transferencias y en el alta de clientes, es obligatorio. La Comunicación "A" 8473 (03/09/2026) prevé un score de riesgo de fraude por CUIT/CUIL de persona humana, que los PSP con cuenta de pago deberán usar en el alta de clientes, en el monitoreo de transferencias y en la revisión periódica del padrón, una vez que reciban la documentación técnica del administrador del esquema. Las decisiones no pueden fundarse exclusivamente en el score.
Claves de lectura
- Gestión integral. Riesgo operacional, fraude, tecnología y terceros funcionan mejor como un solo sistema de gestión que como compartimentos.
- Tecnología sí, herramienta libre. Ninguna herramienta comprada alcanza por sí sola: cuenta que el control se mida y se corrija cuando falla.
- Responsable definido. La función puede estar en una unidad o en una persona, pero la responsabilidad tiene que estar asignada.
- Tercerizar no traslada la responsabilidad. A nuestro criterio, se puede delegar la ejecución operativa de un control; el riesgo sigue siendo de la entidad.
- La prevención empieza en el alta. La consulta a la CPF y el uso del score llegan al momento de abrir la cuenta, antes de la primera operación.
Qué hacer ahora
Para un PSP con cuenta de pago, la primera etapa vence el 31/12/26. Sugerimos este orden de trabajo:
- Confirmar el encuadre: PSP con cuenta de pago (tres etapas) u otro PSP (obligaciones desde el 01/01/27).
- Designar al responsable de riesgo operacional y de fraude, y definir de quién depende.
- Llevar al Directorio la estrategia, la política antifraude y la definición de apetito y tolerancia al riesgo.
- Relevar los procesos críticos e identificar los riesgos por producto, servicio, proceso y canal digital.
- Inventariar lo que ya existe (PLA/FT, seguridad de la información, reclamos, contracargos) para integrarlo y no duplicar controles.
- Revisar los contratos con proveedores que ejecutan controles de fraude u onboarding.
- Preparar el informe de cumplimiento de la etapa 1 para la SEFyC, con su respaldo documental.
Para los demás PSP, el trabajo previo al 01/01/27 es designar al responsable, hacer la autoevaluación del riesgo de fraude, dejar armado el plan de mitigación y poner en marcha los deberes de la función: programa antifraude, plan de respuesta, base de denuncias y reporte a la CPF.
Seis preguntas sirven como autodiagnóstico rápido: ¿quién es el responsable del riesgo de fraude y a quién reporta?, ¿qué procesos son críticos?, ¿qué cambió después de cada evento de fraude?, ¿cómo se supervisa a los terceros que ejecutan controles?, ¿qué indicadores recibe el Directorio?, ¿se consulta la CPF en el alta y en las transferencias?
Este contenido es informativo y no constituye asesoramiento legal para un caso particular. Se basa en el texto de las Comunicaciones "A" 8471, "A" 8473 y "B" 13117; el BCRA anunció que publicará luego los textos ordenados actualizados.