La nueva regulación de prevención del fraude del BCRA: ¿a mi PSP le aplica? ¿desde cuándo? ¿con qué alcance?

Alejandro Emanuel de Dios Montiel | El autor analiza el alcance de las Comunicaciones "A" 8471 y 8473, detallando su aplicación según las distintas funciones registradas por los proveedores de servicios de pago, los plazos establecidos y las obligaciones previstas para cada régimen. | 08/09/2026

En una semana el Banco Central de la República Argentina (BCRA) publicó dos comunicaciones que cambian la forma en que el sistema de pagos tiene que tratar el fraude y, sobre todo, su prevención. La Comunicación "A" 8471, del 27 de agosto de 2026, incorpora la gestión del riesgo de fraude a los Lineamientos para la Gestión de Riesgos y de Gobierno Societario. La Comunicación "A" 8473, del 3 de septiembre, crea un score de riesgo de fraude por persona que las entidades y los proveedores de cuentas de pago van a tener que usar en el alta de clientes y en el monitoreo.

La consulta que más se repite estos días no es técnica. Es previa: ¿con qué alcance me impacta esta norma? Y la respuesta depende de una sola variable que todos tienen clara sobre su propia empresa: en qué función está registrada ante el BCRA.

PRIMERO: LA FUNCIÓN REGISTRADA DEFINE EL RÉGIMEN.

El Registro de Proveedores de Servicios de Pago del BCRA inscribe a cada empresa en una o varias funciones. La más conocida es la de proveedor de servicios de pago que ofrece cuentas de pago (PSPCP), la billetera. Pero el punto 1.4 del texto ordenado sobre Proveedores de servicios de pago enumera otras: administración de esquemas de transferencias y de códigos QR, aceptación, iniciación de pagos, redes de cajeros automáticos, redes de transferencias electrónicas de fondos, adquirencia, agregación o subadquirencia, PSPCP como servicio y empresas de cobranza extrabancaria de impuestos y servicios. Una misma sociedad puede estar inscripta en más de una.

La Comunicación "A" 8471 no habla de "los PSP" en general. Distingue con precisión entre los PSPCP y los "demás proveedores de servicios de pago registrados y/o autorizados". Y les fija obligaciones y fechas distintas. Por eso, antes de leer cualquier análisis, conviene tener a mano la constancia de inscripción y verificar qué funciones figuran. 

TRES REGÍMENES, TRES RELOJES.

Entidades financieras. Los puntos 1 a 4 de la "A" 8471 rigen desde el 1 de diciembre de 2026. Para un banco el cambio no es el concepto sino la formalización: el riesgo de fraude pasa a ser un capítulo expreso del marco de riesgo operacional, con apetito definido por el Directorio, una función responsable, un programa antifraude documentado, reporte trimestral al Directorio y seguimiento del comité de riesgos.

PSPCP. Es el régimen más exigente y el que menos tiempo tiene. El punto 5 de la comunicación dispone que los PSPCP cumplan la Sección 6 completa del texto ordenado sobre Lineamientos para la Gestión de Riesgos en las Entidades Financieras, es decir, todo el marco de riesgo operacional, no solo el capítulo de fraude. Se hace de manera proporcional a la dimensión y complejidad de cada uno, pero se hace. Y el cronograma ya está corriendo:

Al cierre de cada una de las dos primeras etapas hay que remitir a la Superintendencia de Entidades Financieras y Cambiarias (SEFyC) un informe que demuestre el cumplimiento de esa etapa. Al cierre de la tercera, un informe final firmado por la máxima autoridad del PSPCP, con un informe especial de auditor externo que certifique el cumplimiento integral.

Ese último punto merece una lectura pausada: la norma no pide que la empresa diga que cumple, pide que un auditor externo lo certifique. Todo lo que se construya en las etapas (a) y (b) va a ser revisado por alguien de afuera en 2027.

Demás PSP. Desde el 1 de enero de 2027, los proveedores registrados que no son PSPCP tienen cuatro obligaciones concretas: asignar la función de gestión del riesgo de fraude a una unidad o persona responsable con las tareas del punto 6.5.2; hacer una autoevaluación del riesgo de fraude con la herramienta del punto 6.3.1.2, acápite i); desarrollar un plan de mitigación; y cumplir el punto 6.4 sobre gestión de riesgos de tecnología y seguridad de la información. Es un régimen acotado, sin cronograma por etapas ni informes periódicos a la SEFyC, pero con una fecha única y sin transición. Y conviene decirlo expresamente: "demás proveedores de servicios de pago" no son solo los adquirentes y los agregadores. Actores también alcanzados son los aceptadores, los iniciadores, las redes de cajeros automáticos, las redes de transferencias electrónicas de fondos y las empresas de cobranza extrabancaria de impuestos y servicios, un universo mucho mayor que el de las billeteras.

¿QUÉ PASA SI TENGO VARIOS TIPOS DE PSP?

Es la pregunta más frecuente y la respuesta corta es: aplica el estándar más exigente.

La explicación importa porque la norma, leída con lupa, parece decir otra cosa. El punto 5 dispone que los PSPCP cumplan la Sección 6 "en relación con la función de PSPCP por la que se han registrado". Alguien podría concluir que una empresa inscripta como PSPCP y como agregador tiene dos regímenes: el completo para la billetera y el acotado para la adquirencia.

Conforme nuestro relevamiento, esa lectura no se sostiene en la práctica, por tres razones que están en la propia norma. Primero, el marco de gestión de riesgos lo aprueba el Directorio para la entidad, no para una línea de negocio.

Segundo, la función de gestión del riesgo de fraude es una sola por organización y el punto 6.5.2.4 le exige promover una visión "integral y transversal" del riesgo de fraude en toda la organización. Tercero, el punto 6.3 obliga a evaluar el riesgo operacional inherente a todos los productos, actividades, procesos y sistemas relevantes, y, conforme nuestra lectura, un supervisor difícilmente acepte que la mitad de los productos de una misma persona jurídica queden fuera del mapa.

Sostener dos estándares dentro de una misma sociedad es más caro, más difícil de auditar y más débil ante una inspección que adoptar el más alto. Si hay función PSPCP, el régimen PSPCP marca el estándar de toda la entidad.

Cuando las funciones están en sociedades distintas de un mismo grupo, cada persona jurídica responde por su propia inscripción. Pero una política antifraude de grupo con estándar único, aplicada con proporcionalidad en cada vehículo, suele ser la solución más eficiente y la más fácil de explicar.

¿Y LA COMUNICACIÓN "A" 8473 A QUIÉN ALCANZA?

A un universo más chico. El score de riesgo de fraude lo elaboran los administradores de esquemas de pago de transferencias inmediatas, y lo tienen que usar obligatoriamente las entidades financieras y los PSPCP que originen transferencias inmediatas en cualquier modalidad: envío, ingreso, pago o cobro con transferencia. Los demás PSP no están alcanzados directamente. Eso no significa que no los toque: si su operatoria pasa por un esquema o por un PSPCP, van a sentir el efecto en los flujos que reciben. Un caso merece una nota aparte, y es lectura propia: el punto 6 de la Comunicación "A" 8471 alcanza a los "demás proveedores de servicios de pago registrados y/o autorizados" por el BCRA, y los administradores de esquemas de transferencias son proveedores que requieren autorización del BCRA conforme el punto 1.4.2.1 del texto ordenado sobre Proveedores de servicios de pago. Conforme nuestra lectura, quedarían alcanzados también por ese punto desde el 1 de enero de 2027, además de las obligaciones que les impone la Comunicación "A" 8473 como constructores del score.

¿Y SI NO SOY PSP PERO TRABAJO PARA UNO?

Los proveedores tecnológicos, los motores de reglas, los procesadores y los core de billetera no son sujetos alcanzados. Pero el marco de riesgo operacional que ahora deben adoptar los PSPCP incluye la gestión del riesgo de tercerización.

Es razonable esperar que en los próximos meses las obligaciones bajen por vía contractual: niveles de servicio sobre controles antifraude, acceso a evidencia, cooperación en incidentes, información para el reporte al Directorio. Quien provee tecnología a una billetera va a recibir esas cláusulas, y conviene tenerlas pensadas antes de que lleguen.

Un resumen para la próxima reunión de Directorio

En el próximo artículo: qué tiene que estar listo un PSPCP el 31 de diciembre, y qué todavía no hace falta.

Alejandro Emanuel de Dios MONTIEL
Abogado
Socio y Managing Partner de Integria Consulting – Corresponsales de SMS Latinoamérica
Especialista en Integridad Financiera, AML y Medios de Pago - LATAM