Cualquiera que sea responsable de las operaciones ACH, de la prevención del fraude o del cumplimiento normativo probablemente haya pasado los últimos meses mirando la fecha límite de Nacha de marzo de 2026 con bastante aprensión. Anunciados inicialmente en marzo de 2024, estos nuevos requisitos se implementarán en dos fases (20 de marzo de 2026 y 19 de junio de 2026, según el tamaño de la institución) y representan un cambio fundamental de la observación pasiva a la detección proactiva basada en el riesgo. Atrás quedaron los días de los informes manuales del día siguiente, ya que el enfoque se desplaza hacia la visibilidad en tiempo real y un marco operativo defendible que demuestre que el riesgo se gestiona de forma activa, en lugar de simplemente reaccionar ante él.
Si bien la transición es significativa, el avance hacia el cumplimiento tiene más que ver con la alineación estratégica que con una renovación total del sistema. Sardine reunió recientemente a un panel de expertos para traducir estos amplios mandatos regulatorios en una hoja de ruta operativa clara. Al eliminar la información contradictoria que actualmente circula en el sector, identificamos cinco pilares esenciales para construir un marco defendible de cara a los plazos de 2026.
La defendibilidad como la nueva estrella polar
El sector a menudo busca una “bala de plata” que detenga hasta el último centavo fraudulento antes de que se transfiera, pero estas actualizaciones priorizan una realidad distinta y más realista. La perfección en la lucha contra el fraude sigue siendo un sueño imposible, y el marco de Nacha lo reconoce. En su lugar, enfatiza que es fundamental que las instituciones mantengan una supervisión activa e informada de sus transacciones.
Los reguladores exigen un enfoque operativo defendible. Esta norma otorga máxima importancia a los “procesos y procedimientos razonablemente destinados a identificar” el fraude, lo que significa que su lógica y documentación interna tienen tanto peso como el propio software de monitoreo. Si surge una amenaza, debe contar con un plan de acción repetible que resista el escrutinio. Para mantener el cumplimiento, las instituciones deben:
- Identifique el perfil de riesgo de ACH: detecte vulnerabilidades específicas dentro de sus flujos de pago únicos.
- Mantén una vigilancia continua: considera la supervisión como un esfuerzo activo y no como una tarea de “configurar y olvidar”.
- Ejecuta una respuesta: Sigue un plan de acción claro en el momento en que aparezcan señales de alerta.
- Documenta el “por qué”: proporciona a los auditores el razonamiento exacto detrás de cada decisión de riesgo.
Como destacó el panel, el éxito depende de la visibilidad: Hailey Windham señaló que la norma tiene menos que ver con una tasa de detección perfecta y más con la calidad de la red. “Esta norma no trata de eliminar por completo el fraude, sino de demostrar que su institución entiende su riesgo ACH, lo está supervisando de forma adecuada y está preparada para responder cuando aparezcan indicadores de riesgo.”
La documentación sirve como el ancla fundamental de este requisito. Si no puedes explicar el proceso, un examinador asumirá que no existe. No es necesario atrapar a todos los actores malintencionados, pero sí debe haber pruebas de que realmente los estabas buscando.
Visibilidad en tiempo real y el desfase del día siguiente
El sector se está alejando de la mentalidad de “día después” que ha seguido persistiendo, incluso en una época de fraudes que se mueven con gran rapidez. Históricamente, los equipos de fraude han dependido de informes del día siguiente o de revisiones manuales por lotes realizadas mucho después de que una transacción haya sido autorizada. Este retraso crea una ventana de oportunidad para que los estafadores muevan fondos a través de múltiples cuentas antes de que suene la primera alarma.
El seminario web destacó una transición hacia un modelo más ágil que incluye:
- Supervisión en línea: depuración de transacciones para detectar riesgos antes de que se registren en una cuenta.
- Controles de preprocesamiento: uso de aprendizaje automático para asignar puntuaciones de riesgo a los pagos en curso.
- Señales de comportamiento: Identificación de anomalías como actividad de sesión sospechosa o la antigüedad de la cuenta en el momento de la originación.
Este cambio se debe al nuevo enfoque de Nacha en Falsas Pretensiones. Esta categoría abarca los pagos inducidos mediante la tergiversación de la identidad o la autoridad del beneficiario. Dado que estas estafas a menudo implican que titulares de cuentas autorizadas sean engañados para enviar fondos, esperar al código de devolución tradicional por "operación no autorizada" es una estrategia perdedora. Para cuando llega ese código, la pista casi siempre se ha enfriado.
Stacey Gross capturó la trayectoria de la industria cuando afirmó: “Para mí, cuando pienso en el futuro de cómo será la supervisión del fraude, será en tiempo real y proactiva.”
Esto marca un alejamiento de la mentalidad de “configurarlo y olvidarse” del pasado. Desplaza el enfoque de los informes de back office hacia el mismo nivel de escrutinio riguroso y en tiempo real que ya se ha convertido en el estándar para los pagos instantáneos.
Comprender las funciones de la red
Un gran punto de confusión en todo esto es dónde recae inevitablemente la responsabilidad. Muchas instituciones suponen que, porque utilizan un procesador externo, la carga de monitoreo deja de ser su problema. Sin embargo, la responsabilidad en la red ACH está vinculada a cada rol definido (ODFI, RDFI, Originador o TPSP), más que al cargo o a la lista de proveedores. De forma crucial, las RDFI (instituciones receptoras) han dejado de ser observadores pasivos y ahora están obligadas a monitorear los abonos ACH entrantes.
Antes de reescribir cada procedimiento del manual, los equipos deberían dar un paso atrás y preguntarse:
- ¿Qué funciones de ACH desempeñamos? Muchos bancos desempeñan más de una.
- ¿Estamos en la Fase 1 (20 de marzo de 2026) o en la Fase 2 (19 de junio de 2026)? Esto depende estrictamente de tu volumen de 2023.
- ¿Dónde recae la responsabilidad de supervisión? Necesitas saber exactamente quién está vigilando cada punto de control.
- ¿Cómo se documenta eso? Si no está por escrito, no ocurrió.
Stacey Gross aclaró que estas designaciones son la base del cumplimiento: “Depende del papel que desempeñes en la transacción… muy claramente, si te alineas con una función definida que esté dentro del alcance de estas normas, entonces eres responsable de cumplirlas.”
Una sola señal nunca es suficiente
Frente al fraude autorizado y la actividad coordinada de mulas, los puntos de datos aislados son prácticamente inútiles. Una dirección IP por sí sola es solo una huella digital que cualquier estafador puede ocultar con una VPN. Incluso cuando las cuentas están tokenizadas, hay que analizar los metadatos que las rodean para encontrar los vínculos ocultos que indican un ataque coordinado.
La era de las alertas estáticas de un solo disparador ha quedado atrás y, en su lugar, la detección eficaz del fraude ahora debe ser:
- Conductual: Observar los cambios en la forma en que un usuario interactúa con el sistema.
- Contextual: Comparar una transacción con las normas históricas de esa cuenta específica.
- Con conocimiento de la red: Uso de señales de la industria como el código de devolución R17. Si una RDFI marca un pago como “cuestionable”, eso es una señal de alerta para que la ODFI inicie una investigación.
Sathya Gopalakrishnan destacó este cambio hacia una inteligencia agregada, explicando que “también es importante entender que un solo dato no ofrece una visión completa, por lo que siempre es importante analizarlo desde múltiples etapas.”
Reevaluación de las brechas frente al cumplimiento real
La buena noticia es que la mayoría de las instituciones ya son bastante eficaces a la hora de detener el fraude antes de que llegue a concretarse. La monitorización de transacciones y las decisiones de riesgo ya son prácticas básicas en cualquier banco moderno y sólido. Las actualizaciones de 2026 no se centran tanto en reinventar la rueda como en garantizar que esa rueda esté equilibrada y que la alineación quede bien documentada para los auditores.
Si bien el requisito de “defensibilidad” establece el estándar, la implementación real suele revelar que el salto hacia el cumplimiento es más corto de lo que parece. Se trata de formalizar el trabajo silencioso que su equipo ya está realizando. Hailey Windham cerró la conversación recordando que todos ya llevan ventaja: “La mayoría de ustedes ya está haciendo más de lo que se da cuenta… lo importante es tener un enfoque reflexivo y basado en el riesgo, y ser capaz de explicar y documentar su proceso.”
El último obstáculo consiste simplemente en traducir las “corazonadas” institucionales en un enfoque sistémico basado en el riesgo. Si logras cerrar la brecha entre tus hábitos operativos y tus procedimientos escritos, superarás el nivel más exigente de los mandatos de 2026.
Próximos pasos inmediatos para las instituciones
- Asigne los roles: Alinee su monitoreo actual con sus roles reales de ACH (ODFI/RDFI) y con los umbrales de volumen para confirmar si se encuentra en la Fase 1 o en la Fase 2.
- Revisa la política frente a la práctica: asegúrate de que tus manuales escritos realmente reflejen las verificaciones en tiempo real que tu equipo está realizando.
- Identifique los «puntos ciegos»: use la hoja de evaluación de 10 preguntas de Nacha para encontrar los pequeños vacíos procedimentales que podrían hacer fracasar una auditoría, en lugar de buscar una renovación total del sistema.
- Consulta nuestra nueva guía que profundiza en los Falsos Pretextos aquí.