Si has estado entrando en pánico por la nueva Regla de Monitoreo de Fraude ACH de Nacha, quiero empezar diciendo que esto no es una crisis existencial, de máxima alarma, de incumplimiento para los bancos comunitarios y las cooperativas de crédito.
Sí, la norma introduce nuevas expectativas de monitoreo de fraude. Sí, amplía las responsabilidades. La norma es importante. Pero no es necesario entrar en pánico.
Algunos de los titulares que he visto sobre estos cambios son, francamente, frustrantes. Los enfoques basados en el miedo no ayudan a los banqueros que ya están lidiando con recursos limitados, restricciones de personal y amenazas de fraude muy reales.
Así que analicemos qué es lo que Nacha está pidiendo realmente, por qué el lenguaje resulta incómodo y cómo las instituciones comunitarias pueden abordar esto de forma reflexiva sin sobredimensionar ni gastar de más.
Por qué los nuevos requisitos contra el fraude resultan tan inquietantes
Una de las principales razones por las que esta actualización está generando ansiedad es el lenguaje en sí, porque es intencionalmente amplio.
Frases como “procesos y procedimientos basados en el riesgo razonablemente destinados a identificar Créditos iniciados debido a fraude” no son prescriptivas. Nacha no le dice qué herramienta comprar, qué alertas ejecutar ni dónde fijar los umbrales. Para las instituciones acostumbradas a un cumplimiento basado en listas de verificación, ese tipo de flexibilidad puede parecer arriesgado.
Pero la ambigüedad es una característica, no un error. Nacha hizo estos cambios deliberadamente porque el fraude ACH no se ve igual en todas las instituciones financieras.
Una cooperativa de crédito de 200 millones de dólares con una actividad limitada de ACH para empresas no necesita el mismo enfoque de monitoreo que un banco de varios miles de millones de dólares que respalda originadores comerciales de alto volumen. Una orientación de talla única pasaría por alto por completo el objetivo.
Esta regla resulta incómoda porque exige criterio. Pero también es ahí donde las instituciones comunitarias tienen más flexibilidad de la que podrían pensar.
Los cambios en realidad les dan a los bancos más control
Uno de los cambios más importantes de esta norma es aquello de lo que Nacha decidió alejarse intencionalmente.
El lenguaje anterior hacía referencia a un “sistema de detección comercialmente razonable”. Esa expresión implicaba una mentalidad centrada primero en la tecnología y, para muchas instituciones, la suposición de que las herramientas sofisticadas eran la respuesta.
La nueva norma lo sustituye por “procesos y procedimientos basados en el riesgo razonablemente destinados a identificar las [entradas ACH] iniciadas debido a fraude”.
Ese cambio es importante. Indica que el enfoque de Nacha está en si usted comprende su actividad ACH, los riesgos de fraude asociados y cómo responde cuando algo parece fuera de lo normal.
Más importante aún, los nuevos requisitos no recomiendan un enfoque único para todos, por lo que las instituciones tienen margen para diseñar una supervisión que realmente se adapte a su entorno. Siempre que el enfoque sea reflexivo, defendible y esté documentado, los bancos tienen control total sobre qué herramientas utilizar y cómo diseñar sus programas de prevención del fraude.
Cómo se ve esto en la práctica para los ODFI
Si eres una ODFI, incluso una pequeña, la Fase 1 se aplicará a ti a partir del 20 de marzo de 2026.
Eso no significa que de repente necesites un sistema de monitoreo de transacciones de nivel empresarial. Es como si yo comprara llantas para nieve en Carolina del Sur. (¿Qué son siquiera las llantas para nieve?)
Lo que sí significa es que deberías ser capaz de responder algunas preguntas muy básicas y razonables.
Comprender a sus originadores
Como mínimo, deberías saber:
- Quiénes son sus originadores de ACH
- Cuáles representan un mayor riesgo, según el volumen, el tipo de pago o el sector
- Cómo es la actividad “normal” para ellos
- Cómo te darías cuenta si algo cambiara
Esto no requiere perfección, solo conciencia.
Prácticas razonables de supervisión para instituciones comunitarias
Para la mayoría de los bancos comunitarios y las cooperativas de crédito, esto se ve así:
- Revisiones periódicas de la actividad del originador
- Informes que ayudan a detectar picos de volumen o velocidad
- Procedimientos claramente definidos para contactar a los originadores cuando la actividad parezca inusual
- Rutas de escalamiento documentadas para que el personal sepa qué hacer a continuación
Cómo están abordando los ODFI la supervisión de originadores en la práctica
Área | Ligero / Ad hoc | Razonable y repetible (común en las instituciones financieras comunitarias) | Más automatizado |
Conciencia del originador | Lista básica por procesador o núcleo | Revisión periódica de la actividad del originador | Perfiles centralizados de originadores |
Segmentación de riesgos | Conocimiento informal | Agrupado por volumen, tipo de pago, código SEC, industria | Puntuación dinámica de riesgo |
Comprender lo «normal» | Experiencia del personal | Rangos típicos documentados (volumen, tamaño en dólares, frecuencia) | Líneas base de comportamiento |
Detección de cambios | Descubrimiento reactivo | Informes que destacan picos de volumen o velocidad, archivos por primera vez y nuevos códigos de la SEC | Detección automática de anomalías |
Frecuencia de revisión | A medida que surjan problemas | Revisiones programadas (mensuales / trimestrales) | Continuo / casi en tiempo real |
Respuesta cuando la actividad es inusual | Juicio caso por caso | Procedimientos definidos para contactar a los originadores | Alertas y flujos de trabajo automatizados |
Ruta de escalamiento | Informal | Rutas de escalamiento documentadas y definición de la propiedad de las decisiones | Escalada impulsada por el sistema |
Uso de terceros | Controles asumidos | Dependencia comprendida y documentada en los controles del TPSP/procesador | Supervisión integrada entre los participantes |
Documentación | Narrativa mínima | Documentación repetible de revisiones, decisiones y dependencias | Registros de auditoría generados por el sistema |
Fortaleza principal | Bajo esfuerzo | Proporcionado, defendible y alineado con los reguladores | Escalable y coherente |
Limitación principal | Difícil de demostrar | Tiempo y coordinación | Costo y complejidad |
Para la mayoría de los bancos comunitarios y las cooperativas de crédito, una supervisión razonable no requiere herramientas sofisticadas. Requiere procesos intencionales y repetibles, y una documentación clara de cómo se comprende y se supervisa la actividad de los originadores.
Trabajar con remitentes y procesadores externos
Si trabajas con remitentes o procesadores externos, las normas incorporan una flexibilidad importante.
Nacha permite explícitamente que las ODFI tengan en cuenta las medidas que otros participantes en el proceso de originación están tomando para monitorear el fraude al diseñar sus propios procesos. No se espera que usted duplique los controles que ya existen en otras partes del flujo.
Sin embargo, debes comprender esos controles, evaluar cómo encajan en tu postura general de riesgo y documentar cómo dependes de ellos.
Cómo pueden encajar los controles en capas
Capa | Controles de ejemplo | Dónde ocurren |
Debida diligencia previa | Evaluaciones de riesgo del originador de KYC | ODFI / Procesador |
Supervisión de terceros | Supervisión de transacciones TPSP, umbrales | TPSP / Procesador |
Supervisión de la ODFI | Revisiones periódicas, informes de excepciones | ODFI |
Señales de riesgo contextuales | Eventos históricos de fraude, tendencias del sector | ODFI / Red |
Respuesta y escalamiento | Contactar a los originadores, investigación | ODFI |
Ninguna capa por sí sola tiene que hacerlo todo. Lo que importa es que los controles por capas funcionen juntos de manera razonable y basada en el riesgo, y que la dependencia de ellos se entienda y se documente. La confianza ciega sin documentación no es lo mismo que una supervisión basada en el riesgo.
Supervisión de créditos ACH para RDFI
Antes de continuar, es importante distinguir dos funciones muy diferentes que puedes desempeñar en la red ACH.
Algunas actúan solo como RDFI.
Otros actúan como tanto ODFI como RDFI, a menudo sin separar esas responsabilidades internamente.
Las expectativas y los riesgos no son idénticos.
Si eres solo una RDFI
Históricamente, las RDFI han tenido una responsabilidad limitada por los créditos ACH recibidos.
Hace cinco años, la suposición operativa común era:
- Los créditos se registran automáticamente
- Si nada aparece en un informe de excepciones
- Y nada se registra por la fuerza ni se modifica
→ La responsabilidad recae en la ODFI
Ese principio fundamental no ha desaparecido. Lo que ha cambiado es la visibilidad.
Cómo es la supervisión de crédito RDFI en la práctica
Para las RDFI, la supervisión de créditos ACH no consiste en aprobar o rechazar créditos individuales antes de contabilizarlos. Se trata de contar con visibilidad después de la contabilización, reconocer cuándo los créditos generan riesgo a nivel de cuenta y responder de manera adecuada.
Las prácticas razonables de las RDFI suelen incluir:
- Supervisar el comportamiento de la cuenta después de que se acrediten los fondos
- Identificación de patrones coherentes con:
- Actividad de mulas
- Entradas relacionadas con estafas
- Movimiento rápido de fondos
- Revisión:
- Velocidad inusual de crédito
- Múltiples abonos entrantes seguidos de retiros rápidos
- Créditos inconsistentes con el comportamiento histórico de la cuenta
No se espera que las RDFI predigan el fraude en el momento de la recepción, pero sí que detecten cuando la actividad no tiene sentido y respondan de manera adecuada.
Si eres tanto una ODFI como una RDFI
Algunas instituciones financieras desempeñan ambos roles dentro de la red ACH. En estos casos, no se espera que se fusionen las responsabilidades en un solo proceso, sino que se apliquen dos enfoques distintos y complementarios.
- Como ODFI, el enfoque está en la parte inicial del proceso: comprender a los originadores y detectar cuándo cambia su comportamiento.
- Como RDFI, el enfoque está en el flujo descendente: reconocer cuándo los abonos registrados generan riesgo a nivel de cuenta.
Estos roles no son intercambiables y uno no sustituye al otro. Abordan distintos puntos del ciclo de vida del fraude y funcionan mejor cuando se entienden como responsabilidades separadas pero complementarias.
Cómo se aplica esto en la práctica
Área de enfoque | lente ODFI | lente RDFI |
Pregunta principal | ¿Entendemos a nuestros originadores y notamos cambios en su comportamiento? | ¿Los créditos registrados generan riesgo a nivel de cuenta? |
Dónde aparece el riesgo | En el momento de la originación o del envío del expediente | Escena postcréditos |
Lo que estás viendo | Cambios de volumen, nuevos códigos de la SEC, archivos inusuales | Velocidad, movimiento rápido de fondos, indicadores de mulas |
Cómo se lleva a cabo la supervisión | Informes de revisión y de excepciones a nivel de originador | Supervisión a nivel de cuenta después de la publicación |
Por qué es importante | Ayuda a identificar el riesgo de origen aguas arriba | Ayuda a identificar el uso indebido de cuentas posteriores |
La verdadera conclusión
Si no sacas nada más de esto, quédate con esto. Nacha no está pidiendo a los bancos comunitarios ni a las cooperativas de crédito que se conviertan en algo que no son. Están pidiendo a las instituciones que actúen con intención, reflexión y preparación.
Y, sinceramente, ¿puedes culparlos?
Nunca olvidaré revisar los archivos Nacha entrantes durante la pandemia y ver cómo se registraban nóminas de seis cifras en cuentas que habían promediado menos de 100 dólares durante los doce meses anteriores. Sentado allí, reteniendo los fondos, esperando la autorización para devolverlos bajo el código R17 y preguntándome cómo el ODFI no lo detectó desde el principio. Pero esa es una historia para otro día.
Para los especialistas en lucha contra el fraude y en operaciones, esta norma es menos una carga y más una oportunidad. Es una ocasión para fortalecer la gobernanza de ACH, reducir las pérdidas reales por fraude y mejorar la coordinación entre fraude, pagos y cumplimiento antes de que algo salga mal.
Ahora es el momento de hacer un inventario de lo que ya tienes, poner a prueba tus procesos actuales y evaluar a los proveedores sin urgencia ni miedo. Empieza en pequeño. Piensa de forma práctica. Documenta tus decisiones. Construye algo que se adapte a tu institución, no a un ideal teórico. Así es como los bancos comunitarios y las cooperativas de crédito ganarán esta partida.
¿Quieres profundizar más?
Estamos organizando un seminario web en vivo el 11 de febrero donde explicaremos exactamente cómo los bancos comunitarios y las cooperativas de crédito pueden cumplir con los próximos plazos de Nacha, sin sobredimensionar sus soluciones ni gastar de más.
Durante la sesión, Stacey Gross de FIS y yo vamos a:
- Aclarar qué sí y qué no se requiere realmente según la nueva norma
- Analizar casos reales de fraude y estafas ACH
- Explica cómo los ATO y las estafas influyen en las expectativas de Nacha
- Mostrar cómo construir un enfoque claro, defendible y basado en el riesgo que los reguladores puedan entender
Si eres responsable de las operaciones ACH, del fraude o del cumplimiento, o simplemente estás tratando de darle sentido a todo el ruido, esta sesión te brindará claridad práctica y próximos pasos que realmente podrás aplicar.Puedes reservar tu lugar aquí.