Nueva regulación del BCRA sobre gestión del riesgo de fraude
El 27 de agosto de 2026, el Banco Central de la República Argentina (el “BCRA”) dictó la Comunicación “A” 8471, que incorpora un marco integral de gestión del riesgo de fraude (interno y externo) como parte de la gestión del riesgo operacional. La norma alcanza a las entidades financieras, a los Proveedores de Servicios de Pago que ofrecen Cuentas de Pago (los “PSPCP”) y a los demás Proveedores de Servicios de Pago registrados ante el BCRA (los “PSP”), estableciendo diferentes niveles de exigencia y plazos de implementación para cada uno de ellos. A continuación, detallamos las principales novedades.
Entidades Financieras
Vigencia desde el 1 de diciembre de 2026
Se incorpora una nueva Sección 6.5 “Gestión del riesgo de fraude” al texto ordenado sobre “Lineamientos para la Gestión de Riesgos en las Entidades Financieras”, que hasta ahora regulaba la gestión del riesgo operacional en general pero no contenía disposiciones específicas sobre el riesgo de fraude. La nueva sección exige contar con un Programa Antifraude documentado, que debe incluir coordinación entre áreas relevantes (cumplimiento, legales, ciberseguridad, PLAFT), procedimientos de detección con soluciones tecnológicas, canales de denuncia, protocolos de actuación ante incidentes, capacitación al personal y revisión anual del programa.
Además, se debe designar una Función de Gestión del Riesgo de Fraude (que puede asignarse a una unidad específica o a la unidad de riesgo operacional existente), responsable de elaborar e implementar el programa antifraude, gestionar el ciclo completo del riesgo de fraude, capacitar al personal, coordinar con organismos externos y mantener una base de datos centralizada de incidentes, entre otros.
También se modifican otras disposiciones de los mencionados lineamientos, para incorporar expresamente el riesgo de fraude: (i) el marco de gestión del riesgo operacional debe contemplarlo; (ii) el Directorio debe aprobar la estrategia y políticas antifraude y considerarlo al definir el apetito y tolerancia al riesgo; (iii) la Alta Gerencia debe asegurar la implementación del programa y recibir informes periódicos; y (iv) el reporte al Directorio debe ser como mínimo trimestral, incluyendo indicadores clave, incidentes, métricas y medidas correctivas.
Por último, se modifica el texto ordenado sobre “Lineamientos para el Gobierno Societario en Entidades Financieras”: el Comité de gestión de riesgos ahora debe incluir expresamente el riesgo de fraude en su ámbito de seguimiento.
PSPCP
Vigencia progresiva
Los PSPCP deberán cumplir con la Sección 6 del texto ordenado sobre “Lineamientos para la Gestión de Riesgos en las Entidades Financieras”, que hasta ahora sólo aplicaba a entidades financieras. Esto comprende las responsabilidades del Directorio y la Alta Gerencia en materia de riesgo operacional, la designación de una unidad de riesgo operacional, el proceso de gestión del riesgo operacional, la gestión de riesgos de tecnología y seguridad de la información, así como las nuevas exigencias en materia de gestión del riesgo de fraude.
La implementación se realizará de manera proporcional a la dimensión y complejidad de cada PSPCP, adecuada a su perfil de riesgo, y en función de la criticidad de los productos y canales, la exposición al fraude masivo, las características de la base de clientes y el grado de digitalización.
Cronograma de implementación en 4 etapas:
- Etapa 1 (1 de septiembre de 2026 al 31 de diciembre de 2026): Establecimiento del marco de gestión (estructura, estrategias, políticas antifraude), roles y responsabilidades; designación de responsable/s; definición de apetito y tolerancia; identificación preliminar de riesgos operacionales y de fraude; identificación de procesos críticos.
- Etapa 2 (1 de enero de 2027 al 31 de mayo de 2027): Definición y documentación de procesos y procedimientos para la identificación, evaluación, seguimiento, control y mitigación de los riesgos operacionales y de fraude en procesos críticos.
- Etapa 3 (1 de junio de 2027 al 31 de agosto de 2027): Autoevaluación del cumplimiento integral de los requisitos aplicables y presentación del informe final.
- Etapa 4 (desde el 1 de septiembre de 2027): Vigencia plena.
Adicionalmente, los PSPCP deberán presentar ante el BCRA: (i) un informe de cumplimiento del cronograma al finalizar cada una de las dos primeras etapas; y (ii) al finalizar la tercera etapa, un informe final suscripto por la máxima autoridad del PSPCP con informe especial de auditor externo que certifique el cumplimiento integral de los requisitos aplicables.
Resto de PSP
Vigencia desde el 1 de enero de 2027
Los demás PSP registrados y/o autorizados por el BCRA deberán cumplir con ciertos requisitos del texto ordenado sobre “Lineamientos para la Gestión de Riesgos en las Entidades Financieras”, aunque más acotados que los exigidos a las entidades financieras y los PSPCP:
- Asignar la función de gestión del riesgo de fraude a una unidad o persona responsable, con las mismas responsabilidades previstas para las entidades financieras.
- Realizar una autoevaluación del riesgo de fraude, considerando los criterios previstos para la autoevaluación de riesgos operacionales.
- Desarrollar un plan para la mitigación del riesgo de fraude.
- Cumplir con los requisitos de gestión de riesgos de tecnología y seguridad de la información.
Para mayor información, contactarse con:
Este es un comentario general y en modo alguno presupone asesoramiento u opinión legal. En caso de requerirlo, por favor, contáctese con nuestros profesionales.
