Em março, publicamos um estudo aprofundado sobre as novas regras de monitoramento de fraude da Nacha e o que elas significam para bancos comunitários e cooperativas de crédito. Abordamos a diferença entre as responsabilidades de ODFI e RDFI, como é na prática um "monitoramento razoável" e por que essas regras têm menos a ver com comprar tecnologia e mais com ser intencional e estar preparado.
Se você perdeu, eu recomendo começar por lá primeiro.
Na época, muitas instituições comunitárias podem ter lido aquele artigo e pensado: "Isso ainda não se aplica a nós."
Bem, a partir de 22 de junho de 2026 (a data efetiva prática devido ao feriado de Juneteenth), isso muda.
A Fase 2 das emendas à Regra de Gestão de Riscos da Nacha amplia os requisitos de monitoramento de fraude para os Originadores não consumidores remanescentes, Provedores de Serviços Terceirizados (TPSPs), Remetentes Terceirizados (TPSs) e RDFIs que não foram abrangidos na Fase 1.
Em outras palavras: se você não estava no escopo antes, há uma boa chance de que esteja agora.
Isso não significa que você precise começar a entrar em pânico. A Nacha ainda não está pedindo que bancos comunitários e cooperativas de crédito se tornem algo que não são. O foco continua o mesmo: implementar processos e procedimentos baseados em risco, razoavelmente destinados a identificar fraudes, documentar sua abordagem e revisá-la regularmente.
Este blog aprofunda nossa discussão anterior e se concentra no que a Fase 2 significa agora que essas expectativas se aplicam a todo o ecossistema ACH mais amplo.
O que há de diferente na fase 2?
Quando a Nacha propôs essas mudanças em 2023, muitas instituições ficaram preocupadas que os novos requisitos de monitoramento de fraude se traduzissem em sistemas caros e expectativas padronizadas para todos.
A regra final adotou uma abordagem diferente. Várias mudanças importantes foram feitas entre a proposta original e a regra final:
- O termo "comercialmente razoável" foi removido.
- "Sistemas de detecção" se tornaram "processos e procedimentos."
- A monitorização só se aplica "na medida em que for relevante para o papel desempenhado pela entidade."
- A monitorização não é exigida antes do processamento.
- As instituições devem revisar seus processos e procedimentos pelo menos anualmente.
Essas mudanças são importantes. A Nacha criou intencionalmente flexibilidade para que as instituições implementem controles que se adequem ao seu porte, complexidade e perfil de risco. Não se trata de ter a tecnologia mais sofisticada do mercado. Trata-se de adotar uma abordagem criteriosa, razoavelmente voltada para identificar fraudes.
Tradução: Esta regra tem menos a ver com comprar um sistema e mais com ser capaz de explicar o seu processo.
Monitoramento de fraude: agora para todos
A Fase 2 amplia os requisitos de monitoramento de fraude para todos os Originadores não consumidores remanescentes, Provedores de Serviços Terceirizados (TPSPs) e Remetentes Terceirizados (TPSs) que não foram abrangidos na Fase 1.
A expectativa é simples:
Estabelecer e implementar processos e procedimentos baseados em risco, razoavelmente destinados a identificar lançamentos de ACH iniciados em decorrência de fraude.
Perceba o que a regra não diz.
- Ele não exige monitoramento em tempo real.
- Não requer revisão pré-processamento.
- E não prescreve uma tecnologia ou fornecedor específico.
Em vez disso, a Nacha reconhece que as instituições gerenciam a fraude de maneiras diferentes e permite controles em camadas que podem incluir diligência prévia a montante e monitoramento de terceiros.
Controles em camadas são permitidos
O programa de monitoramento de fraude de um ODFI pode se basear em múltiplas camadas de controles, incluindo:
- Integração do originador e devida diligência
- Atividades de monitoramento de processadores ou TPSPs
- Metadados de transações e avaliação de risco
- Eventos históricos de fraude e limites de alerta
- Relatórios de exceção e revisões periódicas
Não se espera que uma única camada funcione de forma isolada. A expectativa é que os controles em camadas atuem em conjunto para formar uma abordagem razoável, baseada em risco, e que a dependência desses controles seja compreendida e documentada.
Isso é especialmente importante para instituições que trabalham com remetentes e processadores terceirizados.
A Nacha permite explicitamente que as ODFIs levem em conta as medidas que outros participantes do processo de originação estão adotando para monitorar fraudes ao elaborar seus próprios processos e procedimentos. Não se espera que as instituições dupliquem controles que já existam em outros pontos do fluxo de pagamento.
No entanto, depender desses controles exige compreendê-los. Confiança cega sem documentação não é o mesmo que supervisão baseada em risco.
Camadas extras nem sempre significam mais segurança
Quando falamos em controles em camadas, é fácil presumir que isso significa adicionar mais ferramentas, mais alertas e mais fornecedores. Mas em camadas nem sempre significa mais.
Não podemos continuar empilhando tecnologia sobre tecnologia quando um fornecedor de soluções existente não está entregando o que a instituição precisa. Às vezes, a resposta é analisar com cuidado as camadas que você já tem, em vez de simplesmente adicionar mais.
Se o fornecedor que você contratou há 5, 10 ou até 20 anos não está acompanhando o cenário atual de fraudes, não há problema em reavaliar essa relação. O objetivo não é acumular tecnologia, e sim construir um programa intencional e eficaz que funcione para a sua instituição.
A complacência não funciona no ambiente atual. A fraude evolui, e nossos controles (e parcerias com fornecedores) precisam evoluir junto.
Monitoramento de créditos ACH pelo RDFI: agora se aplica a todos
Os requisitos da Fase 1 de março se aplicavam apenas às RDFIs com volumes anuais de recebimento de ACH superiores a 10 milhões de lançamentos em 2023.
A partir de 22 de junho, esses requisitos agora se aplicam a todos os RDFIs restantes.
Se você é uma RDFI, uma das clarificações mais importantes permanece inalterada: A regra não exige monitoramento pré-lançamento de lançamentos de crédito ACH.
Historicamente, não se esperava que as RDFIs monitorassem ativamente os créditos ACH antes da contabilização. Se um crédito não aparecesse em um relatório de exceções e não fosse lançado à força ou alterado, a responsabilidade geralmente recaía sobre a ODFI.
Esse princípio não mudou.
O que mudou foi a visibilidade.
As RDFIs têm uma visão única das transações recebidas, das características das contas e do histórico de comportamento, o que pode revelar fraudes após a liquidação dos fundos.
Uma abordagem baseada em risco pode considerar fatores como:
- Velocidade das transações
- Idade da conta
- Saldos médios
- Anomalias de código SEC
- Comportamento histórico da conta
Se esses conceitos lhe parecem familiares, é porque deveriam. Muitas instituições já realizam hoje monitoramentos semelhantes por meio de AML, monitoramento de atividades suspeitas ou operações de combate a fraudes.
Essa regra não está necessariamente criando uma nova função. Em muitos casos, ela está formalizando uma que já existe. Uma mudança de mentalidade
Sendo sincero: eu realmente adoro essa atualização da regra. Acho que ela dá uma vantagem aos profissionais de combate proativo à fraude, ao criar uma visibilidade mais consistente sobre os arquivos ACH recebidos e a atividade das contas. Essa visibilidade nos dá a oportunidade de identificar riscos mais cedo e potencialmente evitar fraudes antes que os fundos desapareçam.
Mais importante ainda, isso nos ajuda a nos afastar da mentalidade de:
"Se não formos responsáveis, não é nosso problema."
Lembro que, no auge das fraudes com empréstimos do PPP na era da COVID, eu revisava arquivos de ACH recebidos em busca de depósitos incomumente altos. Havia contas empresariais com saldos médios de menos de US$ 1.000 nos 12 meses anteriores que, de repente, passaram a receber depósitos do PPP na casa das centenas de milhares de dólares.
Claro, talvez minha instituição não fosse responsável por essas transações. Mas como eu poderia, em boa consciência, ignorar uma atividade que tão claramente não condizia com o histórico da conta?
Eu sabia que nossa equipe de BSA monitoraria, investigaria e reportaria atividades suspeitas. Mas relatar a fraude depois que ela acontece não é o mesmo que preveni-la.
É isso que eu valorizo nessa regra. Ela não exige que as instituições se tornem videntes. Ela dá aos combatentes de fraude a capacidade de serem mais proativos: de reconhecer quando algo não faz sentido e tomar as medidas adequadas antes que os fraudadores tenham a chance de mover o dinheiro.
Falsas aparências: uma nova definição para um problema conhecido
E falando em “quando algo não faz sentido”, uma das adições mais notáveis às regras é a introdução de um termo recém-definido:
Falsas pretensões
"O incentivo a um pagamento por uma Pessoa que faz uma falsa representação (a) da sua própria identidade, (b) da sua associação com ou autoridade para agir em nome de outra Pessoa, ou (c) da titularidade de uma conta a ser creditada."
Esta definição abrange muitos dos cenários de fraude que as instituições já estão vendo diariamente, incluindo:
- Comprometimento de E-mail Comercial (BEC)
- Impersonação de fornecedor
- Impersonação de folha de pagamento
- Outros esquemas de personificação de beneficiários
É importante ressaltar que essa definição não se estende a golpes envolvendo produtos ou serviços falsos ou de baixa qualidade. Escrevemos um guia que aprofundamos melhor neste conceito aqui.
De muitas maneiras, a Nacha está formalizando o que os profissionais de fraude sabem há anos: fraude nem sempre é acesso não autorizado. Às vezes, é um pagamento autorizado feito sob engano.
Mas como uma RDFI identifica transações que podem ter sido autorizadas sob falsos pretextos quando não conhece as circunstâncias em que o pagamento foi iniciado?
De acordo com a Nacha, as instituições podem considerar características tanto da entrada quanto da conta recebedora, tais como:
- Um Código de Classe de Lançamento Padrão (SEC) que não corresponde ao tipo de conta recebedora (por exemplo, um lançamento corporativo CCD em uma conta de consumidor)
- Uma transação de alto valor que é atípica para a conta
- Uma série de créditos semelhantes recebidos em um curto período de tempo, como vários pagamentos de folha de pagamento ou de benefícios
- Qualquer uma das situações acima ocorrendo em uma conta nova, conta inativa ou conta potencialmente usada como laranja
Se esses cenários lhe parecem familiares, é porque são mesmo. Eles costumam ser os mesmos indicadores que as equipes de fraude vêm monitorando há anos.
A diferença agora é que a Nacha passou a reconhecer explicitamente esses tipos de padrões como parte de uma abordagem razoável e baseada em risco para o monitoramento de créditos ACH.
É importante destacar que identificar uma transação atípica não significa automaticamente devolvê-la.
Uma RDFI pode optar por aproveitar a isenção voluntária dos requisitos de disponibilidade de fundos para lançamentos de crédito, o que permite tempo adicional para analisar a transação e a movimentação da conta. As instituições também podem utilizar o Risk Management Portal e o ACH Contact Registry da Nacha para se comunicar com a ODFI quando surgirem dúvidas.
E quando um RDFI determina que um lançamento pode ser não autorizado ou autorizado sob falsos pretextos, a instituição pode devolvê-lo usando Código de Motivo de Devolução R17 ("QUESTIONABLE") ou, a pedido do ODFI, Código de Motivo de Devolução R06.
O ponto em comum em todos esses exemplos é simples:
A fraude raramente se anuncia com certeza. Com mais frequência, ela aparece como uma atividade que simplesmente não faz sentido.
Um dos maiores impactos pode ser na comunicação interna
Escondida nessas atualizações de regras está uma importante realidade operacional: A fraude raramente se encaixa perfeitamente em um único departamento.
O monitoramento de ACH está cada vez mais na interseção de:
- Fraude
- Operações
- Conformidade
- Produto
- Gestão de tesouraria
- Equipes de relacionamento
As instituições em melhor posição para alcançar o sucesso não serão necessariamente aquelas com a tecnologia mais sofisticada.
Serão aquelas com responsabilidades bem definidas, processos repetíveis, decisões documentadas e uma comunicação forte entre as equipes.
A verdadeira conclusão
A Fase 2 não muda fundamentalmente o que os bancos comunitários e as cooperativas de crédito fazem. Em vez disso, ela formaliza o que muitas instituições já vinham fazendo e incentiva outras a se tornarem mais intencionais.
A Nacha não está pedindo que as instituições detectem todas as transações fraudulentas.
Eles estão pedindo que as instituições compreendam seus riscos, implementem controles razoáveis, documentem sua abordagem e revisem esses processos regularmente.
Para muitas instituições, os blocos de construção já existem.
A oportunidade agora é conectá-los.
Porque, quando a fraude acontece, a questão não é se a sua instituição tinha o sistema perfeito. É se você entendia seus riscos, tinha um processo e sabia o que fazer em seguida.
