El BCRA exige un programa antifraude documentado a bancos y fintech

El Banco Central emitió el 27 de agosto de 2026 la Comunicación A 8471, que obliga a bancos, billeteras y proveedores de servicios de pago a tener un programa antifraude documentado. No es una recomendación de buenas prácticas. Es una exigencia normativa con fechas de vigencia, roles designados y reportes periódicos al Directorio. Para el abogado que asesora a una entidad financiera o a una fintech, el calendario ya arrancó.

Qué exige la Sección 6.5

La norma incorpora una nueva Sección 6.5, titulada gestión del riesgo de fraude, al texto ordenado sobre lineamientos para la gestión de riesgos en las entidades financieras. Hasta ahora ese cuerpo regulaba el riesgo operacional en general y no tenía disposiciones específicas sobre fraude. Ahora las tiene, y cubren fraude interno y externo.

Las obligaciones centrales para las entidades financieras son seis. Un programa antifraude documentado que coordine a las áreas de cumplimiento, legales, ciberseguridad y prevención de lavado. Procedimientos de detección con soluciones tecnológicas, canales de denuncia y protocolos de respuesta ante incidentes. La designación de una función de gestión del riesgo de fraude, con un responsable identificable. Una base de datos centralizada de incidentes. Capacitación al personal. Y revisión anual del programa, con reportes trimestrales al Directorio que incluyan indicadores clave y medidas correctivas.

Ese último punto es el que suele subestimarse. Un reporte trimestral al Directorio con indicadores convierte al fraude en materia de deber de diligencia de los directores. Deja rastro escrito de qué sabía el órgano de administración y cuándo lo supo.

El calendario, en etapas

La norma escalona el cumplimiento según el tipo de sujeto obligado.

• Entidades financieras: vigencia plena el 1 de diciembre de 2026.
• PSPCP, es decir proveedores de servicios de pago que ofrecen cuentas de pago: implementación progresiva en cuatro etapas, entre septiembre de 2026 y septiembre de 2027.
• Demás PSP registrados ante el BCRA: 1 de enero de 2027.

Las cuatro etapas de los PSPCP tienen contenido propio. La primera, de septiembre a diciembre de 2026, exige establecer el marco, definir roles y estrategias antifraude e identificar riesgos de manera preliminar. La segunda, de enero a mayo de 2027, pide documentar los procesos y procedimientos de identificación, evaluación y mitigación de riesgos. La tercera, de junio a agosto de 2027, requiere una autoevaluación y un informe final con participación de auditor externo. La cuarta, desde septiembre de 2027, marca la vigencia plena.

Para los demás PSP el paquete es más acotado: función responsable de la gestión del fraude, autoevaluación de riesgo, plan de mitigación y cumplimiento de las exigencias de gestión de tecnología y seguridad de la información. La síntesis de la norma fue publicada por Abogados.com.ar.

La tarea del abogado del sector

Si asesorás a un sujeto alcanzado, hay trabajo concreto y con fecha.

Empezá por el encuadre. Determiná con precisión si tu cliente es entidad financiera, PSPCP o PSP simple, porque de eso depende el calendario y el nivel de exigencia. Una billetera que también opera cuentas de pago puede quedar en una categoría más gravosa de la que asume.

Seguí por los documentos societarios. El programa antifraude necesita aprobación del órgano de administración y una designación formal del responsable de la función. Eso implica acta de directorio, definición de reporte y una política escrita. Sin ese papel, el programa no existe a los efectos de una inspección.

Revisá los contratos con terceros. Procesadores de pagos, proveedores de sistemas antifraude y servicios de verificación de identidad quedan dentro del perímetro del programa. Los contratos deberían prever obligaciones de notificación de incidentes, auditoría y entrega de información al supervisor.

Cuidá la base de datos de incidentes. Va a contener datos personales de clientes y, en muchos casos, datos de personas sospechadas de fraude. El tratamiento cae bajo la ley 25.326, con sus reglas de finalidad, exactitud, plazo de conservación y derecho de acceso. Una base antifraude mal diseñada resuelve un problema regulatorio y crea otro.

Por último, coordiná con prevención de lavado. La norma exige articulación explícita entre el programa antifraude y el área de PLAFT, y en muchas estructuras esas dos áreas trabajan sin hablarse. Alinear matrices y canales de denuncia ahora evita reprocesos en la autoevaluación.

La agenda inmediata para diciembre es corta: encuadre del cliente, acta de designación, política escrita y revisión de contratos con proveedores. El resto se construye sobre esa base.