En marzo publicamos un análisis en profundidad sobre las nuevas normas de supervisión de fraude de Nacha y lo que significaban para los bancos comunitarios y las cooperativas de crédito. Explicamos la diferencia entre las responsabilidades de los ODFI y los RDFI, cómo se ve en la práctica una “supervisión razonable” y por qué estas normas tienen menos que ver con comprar tecnología y más con ser intencionales y estar preparados.
Si te lo perdiste, te recomiendo empezar por ahí primero.
En ese momento, muchas instituciones comunitarias quizá leyeron ese artículo y pensaron: "Esto todavía no se aplica a nosotros."
Bueno, a partir del 22 de junio de 2026 (la fecha de entrada en vigor práctica debido al feriado de Juneteenth), eso cambia.
La Fase 2 de las enmiendas a la Regla de Gestión de Riesgos de Nacha amplía los requisitos de monitoreo de fraude a los Originadores no consumidores restantes, los Proveedores de Servicios de Terceros (TPSPs), los Terceros Remitentes (TPSs) y las RDFI que no quedaron abarcados en la Fase 1.
En otras palabras: si antes no estabas dentro del alcance, es muy probable que ahora sí lo estés.
Eso no significa que tengas que empezar a entrar en pánico. Nacha sigue sin pedirles a los bancos comunitarios y a las cooperativas de crédito que se conviertan en algo que no son. El enfoque sigue siendo el mismo: implementar procesos y procedimientos basados en el riesgo, razonablemente diseñados para identificar el fraude, documentar tu enfoque y revisarlo con regularidad.
Este blog amplía nuestra conversación anterior y se centra en lo que significa la Fase 2 ahora que estas expectativas se aplican a todo el ecosistema ACH en general.
¿Qué es diferente en la fase 2?
Cuando Nacha propuso estos cambios en 2023, muchas instituciones se preocuparon de que los nuevos requisitos de monitoreo de fraude se tradujeran en sistemas costosos y expectativas uniformes para todos.
La norma final adoptó un enfoque diferente. Se realizaron varios cambios importantes entre la propuesta original y la norma final:
- El término "razonable desde el punto de vista comercial" fue eliminado.
- "Sistemas de detección" se convirtió en "procesos y procedimientos."
- La supervisión solo se aplica "en la medida en que sea relevante para la función que desempeña la entidad."
- La supervisión no es necesaria antes del procesamiento.
- Las instituciones deben revisar sus procesos y procedimientos al menos una vez al año.
Esos cambios son importantes. Nacha creó intencionalmente flexibilidad para que las instituciones implementen controles que se ajusten a su tamaño, complejidad y perfil de riesgo. No se trata de tener la tecnología más sofisticada del mercado. Se trata de contar con un enfoque reflexivo que esté razonablemente diseñado para identificar el fraude.
Traducción: Esta regla tiene menos que ver con comprar un sistema y más con poder explicar tu proceso.
Supervisión de fraude: ahora para todos
La Fase 2 amplía los requisitos de monitoreo de fraude a todos los Originadores no consumidores restantes, Proveedores de Servicios de Terceros (TPSP) y Remitentes de Terceros (TPS) que no fueron incluidos en la Fase 1.
La expectativa es sencilla:
Establecer e implementar procesos y procedimientos basados en el riesgo, razonablemente diseñados para identificar las entradas ACH iniciadas debido a fraude.
Fíjate en lo que la regla no dice.
- No requiere supervisión en tiempo real.
- No requiere revisión previa al procesamiento.
- Y no prescribe una tecnología o proveedor específico.
En cambio, Nacha reconoce que las instituciones gestionan el fraude de diferentes maneras y permite controles en capas que pueden incluir la debida diligencia previa y la supervisión de terceros.
Se permiten los controles por capas
El programa de monitoreo de fraude de un ODFI puede basarse en múltiples capas de controles, que incluyen:
- Incorporación del originador y debida diligencia
- Actividades de supervisión del procesador o del TPSP
- Metadatos de transacciones y evaluación de riesgos
- Eventos históricos de fraude y umbrales de alerta
- Informes de excepciones y revisiones periódicas
No se espera que ninguna capa funcione de forma aislada. Se espera que los controles en capas trabajen conjuntamente para conformar un enfoque razonable y basado en el riesgo, y que la dependencia de esos controles se comprenda y se documente.
Esto es especialmente importante para las instituciones que trabajan con remitentes y procesadores de terceros.
Nacha permite explícitamente que las ODFI tengan en cuenta las medidas que otros participantes en el proceso de originación están adoptando para monitorear el fraude al diseñar sus propios procesos y procedimientos. No se espera que las instituciones dupliquen los controles que ya existen en otras partes del flujo de pagos.
Sin embargo, depender de esos controles requiere comprenderlos. La confianza ciega sin documentación no es lo mismo que una supervisión basada en el riesgo.
Tener más capas no siempre significa más
Cuando hablamos de controles en capas, es fácil suponer que eso significa añadir más herramientas, más alertas y más proveedores. Pero tener capas no siempre significa tener más.
No podemos seguir acumulando tecnología sobre tecnología cuando un proveedor de soluciones existente no está ofreciendo lo que la institución necesita. A veces, la respuesta es analizar detenidamente las capas que ya tienes, no simplemente añadir más.
Si el proveedor que incorporaste hace 5, 10 o incluso 20 años no está manteniendo el ritmo del panorama actual del fraude, está bien reevaluar esa relación. El objetivo no es acumular tecnología, sino construir un programa intencional y eficaz que funcione para tu institución.
La complacencia no funciona en el entorno actual. El fraude evoluciona y nuestros controles (y las alianzas con proveedores) deben evolucionar junto con él.
Supervisión de créditos ACH para RDFI: ahora se aplica a todos
Los requisitos de la Fase 1 de marzo se aplicaron solo a las RDFI con volúmenes anuales de recepción de ACH superiores a 10 millones de transacciones en 2023.
A partir del 22 de junio, esos requisitos ahora se aplican a todos los RDFI restantes.
Si eres una RDFI, una de las aclaraciones más importantes sigue siendo la misma: La norma no exige la supervisión previa al registro de las entradas de crédito ACH.
Históricamente, no se esperaba que los RDFI supervisaran activamente los créditos ACH antes de contabilizarlos. Si un crédito no aparecía en un informe de excepciones y no se contabilizaba de forma forzada ni se modificaba, la responsabilidad generalmente recaía en el ODFI.
Ese principio no ha cambiado.
Lo que ha cambiado es la visibilidad.
Las RDFI tienen una visión única de las transacciones entrantes, las características de las cuentas y el comportamiento histórico que puede revelar fraudes después de que los fondos se hayan abonado.
Un enfoque basado en el riesgo puede tener en cuenta factores como:
- Velocidad de transacción
- Antigüedad de la cuenta
- Saldos promedio
- Anomalías en los códigos SEC
- Comportamiento histórico de la cuenta
Si esos conceptos te resultan familiares, es normal. Muchas instituciones ya realizan hoy en día un monitoreo similar a través de AML, monitoreo de actividades sospechosas u operaciones contra el fraude.
Esta norma no necesariamente está creando una función nueva. En muchos casos, está formalizando una que ya existe. Un cambio de mentalidad
Seré sincero: en realidad me encanta esta actualización de la norma. Creo que les da a los luchadores proactivos contra el fraude una ventaja al crear una visibilidad más constante de los archivos ACH recibidos y de la actividad de las cuentas. Esa visibilidad nos da la oportunidad de identificar el riesgo antes y potencialmente prevenir el fraude antes de que los fondos desaparezcan.
Y, lo que es más importante, nos ayuda a alejarnos de la mentalidad de:
"Si no somos responsables, no es nuestro problema."
Recuerdo que, en el punto álgido del fraude con los préstamos PPP durante la era del COVID, revisaba archivos ACH entrantes en busca de depósitos inusualmente grandes. Había cuentas comerciales con saldos promedio de menos de 1.000 dólares durante los 12 meses anteriores que, de repente, empezaban a recibir depósitos de PPP de seis cifras.
Claro, puede que mi institución no haya sido responsable de esas transacciones. Pero, ¿cómo podría, en conciencia, ignorar una actividad que tan claramente no se alineaba con el historial de la cuenta?
Sabía que nuestro equipo de BSA supervisaría, investigaría y reportaría actividades sospechosas. Pero denunciar el fraude después de que ocurra no es lo mismo que prevenirlo.
Eso es lo que valoro de esta norma. No les pide a las instituciones que se conviertan en adivinos. Les da a los combatientes del fraude la capacidad de ser más proactivos, de reconocer cuando algo no tiene sentido y tomar las medidas adecuadas antes de que los estafadores tengan la oportunidad de mover el dinero.
Falsas apariencias: una nueva definición para un problema conocido
Y hablando de “cuando algo no tiene sentido”, una de las incorporaciones más notables a las reglas es la introducción de un término recién definido:
Falsas pretensiones
"El incentivo de un pago por parte de una Persona que tergiversa (a) la identidad de dicha Persona, (b) la relación de dicha Persona con otra Persona o su autoridad para actuar en nombre de otra Persona, o (c) la titularidad de una cuenta que deba ser acreditada."
Esta definición abarca muchos de los escenarios de fraude que las instituciones ya están viendo a diario, entre ellos:
- Compromiso de correo electrónico empresarial (BEC)
- Suplantación de proveedor
- Suplantación de nómina
- Otros esquemas de suplantación de beneficiarios
Es importante destacar que esta definición no se extiende a las estafas que implican bienes y servicios falsos o de mala calidad. Hemos escrito una guía que profundiza más en este concepto aquí.
En muchos sentidos, Nacha está codificando lo que los profesionales del fraude han sabido durante años: el fraude no siempre implica acceso no autorizado. A veces es un pago autorizado realizado bajo engaño.
Pero ¿cómo puede una RDFI identificar transacciones que pueden haber sido autorizadas bajo falsos pretextos cuando no conoce las circunstancias en las que se inició el pago?
Según Nacha, las instituciones pueden considerar las características tanto de la entrada como de la cuenta receptora, tales como:
- Un código de Clase de Entrada Estándar (SEC) que no se alinea con el tipo de cuenta receptora (por ejemplo, una entrada CCD corporativa a una cuenta de consumidor)
- Una transacción de alto valor que es atípica para la cuenta
- Una serie de créditos similares recibidos en un corto período de tiempo, como múltiples pagos de nómina o de prestaciones
- Cualquiera de los anteriores que ocurra en una cuenta nueva, cuenta inactiva o posible cuenta mula
Si estos escenarios te resultan familiares, es normal. A menudo son los mismos indicadores que los equipos de fraude han estado monitoreando durante años.
La diferencia ahora es que Nacha ha reconocido explícitamente este tipo de patrones como parte de un enfoque razonable y basado en el riesgo para la supervisión de créditos ACH.
Es importante destacar que identificar una anomalía no significa automáticamente devolver la transacción.
Un RDFI puede optar por aprovechar la exención voluntaria de los requisitos de disponibilidad de fondos para abonos, lo que le permite contar con más tiempo para examinar la transacción y la actividad de la cuenta. Las instituciones también pueden utilizar el Risk Management Portal y el ACH Contact Registry de Nacha para comunicarse con el ODFI cuando surjan preguntas.
Y cuando una RDFI determina que una partida puede no estar autorizada o haber sido autorizada bajo falsos pretextos, la institución puede devolver la partida utilizando Código de motivo de devolución R17 ("CUESTIONABLE") o, a solicitud de la ODFI, Código de motivo de devolución R06.
El hilo común en todos estos ejemplos es sencillo:
El fraude rara vez se presenta con certeza. Más a menudo, aparece como una actividad que simplemente no tiene sentido.
Uno de los mayores impactos puede ser en la comunicación interna
Oculta dentro de estas actualizaciones de normas hay una importante realidad operativa: El fraude rara vez encaja perfectamente en un solo departamento.
La supervisión de ACH se encuentra cada vez más en la intersección de:
- Fraude
- Operaciones
- Cumplimiento
- Producto
- Gestión de tesorería
- Equipos de relaciones
Las instituciones mejor posicionadas para tener éxito no serán necesariamente aquellas con la tecnología más sofisticada.
Serán aquellas con una clara asignación de responsabilidades, procesos repetibles, decisiones documentadas y una comunicación sólida entre los equipos.
La verdadera conclusión
La Fase 2 no cambia de forma fundamental lo que hacen los bancos comunitarios y las cooperativas de crédito. Más bien, formaliza lo que muchas instituciones ya venían haciendo y anima a otras a actuar de manera más intencional.
Nacha no les pide a las instituciones que detecten todas las transacciones fraudulentas.
Les están pidiendo a las instituciones que comprendan sus riesgos, implementen controles razonables, documenten su enfoque y revisen esos procesos con regularidad.
Para muchas instituciones, los elementos fundamentales ya existen.
La oportunidad ahora es conectarlos.
Porque cuando ocurre un fraude, la pregunta no es si tu institución tenía el sistema perfecto. Es si comprendías tus riesgos, contabas con un proceso y sabías qué hacer a continuación.
