PSPCP: qué tiene que estar listo el 31 de diciembre (y qué todavía no hace falta)

Alejandro Emanuel de Dios Montiel | El autor analiza el alcance de la primera etapa del régimen establecido por la Comunicación "A" 8471 para los PSPCP y detalla las medidas, responsabilidades y evidencias que deberán encontrarse implementadas y documentadas para el fin de este año. | 14/09/2026

En un artículo anterior, explicamos quién está alcanzado por la Comunicación "A" 8471 del Banco Central de la República Argentina (BCRA) y por qué, cuando conviven varias funciones, gobierna el estándar más exigente. Hoy vamos al caso concreto que tiene el reloj más apretado: el proveedor de servicios de pago que ofrece cuentas de pago (PSPCP) y el PSPCP as a service.

LA TRAMPA DEL CRONOGRAMA.

La comunicación tiene fecha 27 de agosto. La primera etapa del cronograma para PSPCP empezó el 1 de septiembre y cierra el 31 de diciembre de 2026. Cuatro meses, con las fiestas en el medio, para una industria que no en todos los casos tiene un marco formal de riesgo operacional.

Hay dos lecturas equivocadas que estamos viendo repetirse. La primera es la del optimista: "la vigencia plena es en septiembre de 2027, tenemos un año". No es así. Cada etapa tiene entregables propios y al cierre de cada una de las dos primeras hay que remitir a la Superintendencia de Entidades Financieras y Cambiarias (SEFyC) un informe que demuestre el cumplimiento de esa etapa. La primera fecha que el supervisor va a mirar es el 31 de diciembre.

La segunda lectura equivocada es la ansiosa: "hay que tener todo el programa antifraude funcionando antes de fin de año". Tampoco. La etapa (a) pide un marco, no procedimientos operativos terminados. Los procedimientos son la etapa (b), de enero a mayo de 2027. Confundir las dos etapas lleva a gastar en herramientas antes de haber decidido qué riesgos se quieren cubrir.

QUÉ PIDE EXACTAMENTE LA ETAPA (A)

El punto 5 de la Comunicación "A" 8471 enumera los componentes de la primera etapa. Traducidos a entregables:

•  Un marco de gestión del riesgo operacional que incluya la prevención del fraude. Es un documento de política, aprobado por el Directorio o el máximo órgano de administración, que define estructura, estrategia, políticas y prácticas antifraude, y la metodología con que se va a evaluar el riesgo. No es un manual de procedimientos. Es la decisión de gobierno sobre cómo la empresa quiere tratar el riesgo.
•  Roles y responsabilidades. Quién hace qué entre el Directorio, la Alta Gerencia, la función de fraude, riesgo operacional, cumplimiento, tecnología y las áreas de negocio. El texto ordenado trabaja con el modelo de tres líneas; conviene que el documento lo diga con esas palabras.
•  Designación del responsable. Una persona o unidad con nombre y apellido, formalmente designada, con las características que se explican más abajo.
•  Apetito y tolerancia al riesgo. Cuánto fraude está dispuesta a absorber la entidad, expresado en términos que después se puedan medir: tasas de fraude sobre volumen, pérdida máxima por período, incidentes por canal. Un apetito que no se puede medir no sirve para el reporte trimestral que viene después.
•  Identificación preliminar de riesgos. Un inventario de los riesgos operacionales y de fraude asociados a productos, servicios, procesos y canales digitales. Preliminar significa que no hace falta la autoevaluación completa del punto 6.3.1.2 todavía; sí hace falta un mapa razonable de dónde puede entrar el fraude.
•  Identificación de procesos críticos. Cuáles son los procesos donde un evento de fraude o una falla operativa daña al cliente o a la empresa: onboarding, recuperación de credenciales, transferencias, carga de tarjetas, cambio de datos de contacto, entre otros. Sobre estos procesos se van a escribir los procedimientos de la etapa (b).
•  Y el informe a la SEFyC. Que demuestre que todo lo anterior existe, está aprobado y está en vigor. La norma no fija formato para ese informe. Conviene armar desde el primer día la evidencia ordenada por acápite del texto ordenado, porque es la misma carpeta que en 2027 va a revisar el auditor externo.

LAS PREGUNTAS QUE NOS HACEN TODOS LOS DÍAS

¿El responsable de fraude puede ser la misma persona que riesgo operacional?

Sí. La norma lo prevé expresamente: la función puede desarrollarla una estructura específica o la unidad de riesgo operacional. En un PSPCP mediano suele ser la solución natural. Lo que no puede faltar es la designación formal y que esa persona cumpla las características de los puntos 6.2.4.2 a 6.2.4.5 y 6.2.4.8 del texto ordenado.

¿Puede ser el oficial de cumplimiento AML?

La norma no lo prohíbe con esas palabras, pero pone condiciones que hay que leer con cuidado. La función debe depender funcionalmente de la Gerencia General o de un nivel con capacidad decisoria en riesgos, no puede estar a cargo de auditoría interna, tiene que ser independiente de las unidades de negocio y no puede generar conflictos de intereses. Además, el punto 6.5.1.1 exige que el programa antifraude incluya la coordinación entre quien gestiona el riesgo de fraude y las áreas de cumplimiento normativo y de prevención del lavado. Conforme nuestro relevamiento, cuando la norma pide coordinar dos funciones, la lectura más segura es que las concibe como funciones distintas, aunque en estructuras chicas puedan converger en una misma persona con las salvaguardas documentadas. Cada entidad tendrá que evaluar si su estructura admite esa concentración sin comprometer la independencia que pide el texto.

¿La función se puede tercerizar?

El punto 6.5.2 dice que la función de gestión del riesgo de fraude "será íntegramente desarrollada" por una estructura de la entidad. La titularidad y la responsabilidad son internas. Lo que sí puede venir de afuera es el soporte: diseño del marco, metodología de evaluación, parametrización de reglas, capacitación, preparación del reporte al Directorio y, según la proporcionalidad de cada entidad, la ejecución operativa de la función bajo la responsabilidad de quien fue designado. La distinción importa porque el informe final de 2027 lo firma la máxima autoridad del PSPCP y lo certifica un auditor externo; es previsible que ni la máxima autoridad ni el auditor externo acepten que la función viva en un proveedor.

¿Qué significa "proporcional"?

La norma lo define: proporcional a la dimensión y complejidad de la operatoria, al perfil de riesgo, a la criticidad de productos y canales, a la exposición al fraude masivo, a las características de la base de clientes y al grado de digitalización. En la práctica, proporcionalidad no es hacer menos cosas sino hacerlas a la escala correcta. Un PSPCP con cien mil cuentas y transferencias inmediatas está expuesto al fraude masivo aunque tenga quince empleados, y el supervisor lo va a evaluar por su exposición, no por su nómina.

¿Qué tiene que hacer el Directorio y cada cuánto?

Aprobar el marco, la estrategia, las políticas y las prácticas antifraude, y el apetito y la tolerancia al riesgo. Recibir un reporte sobre gestión del riesgo de fraude como mínimo trimestral, con indicadores clave, incidentes relevantes, métricas, medidas correctivas, nuevas tipologías detectadas y oportunidades de mejora. El comité de riesgos, donde exista, incorpora el riesgo de fraude a su seguimiento. Y un detalle que se pasa por alto: toda definición o actualización de las políticas antifraude debe contar con la intervención de auditoría interna o instancia equivalente antes de elevarse al Directorio. Si el PSPCP no tiene auditoría interna, tiene que definir cuál es esa instancia equivalente antes de aprobar la primera política.

¿Qué pasa con los ciber incidentes?

La norma dice que determinadas modalidades de fraude pueden materializarse a través de ciber incidentes, y el marco de riesgo operacional incluye el punto 6.4 sobre tecnología y seguridad de la información. Esto no convierte al responsable de fraude en responsable de ciberseguridad, pero sí obliga a que las dos funciones compartan información, criterios de clasificación de incidentes y protocolos de respuesta. En la mayoría de las billeteras hoy son dos mundos que no se hablan.

Lo que conviene anticipar aunque no venza este año

La etapa (b) va a exigir procedimientos documentados de detección sustentados en soluciones tecnológicas, canales de denuncia, protocolos de actuación ante incidentes, capacitación por nivel de exposición, una base de datos única y centralizada de denuncias y reportes de fraude, y los mecanismos para reportar y consultar la Central de Prevención de Fraude. Nada de eso se escribe en cinco meses si el marco de la etapa (a) se hizo de apuro. Y la Comunicación "A" 8473, de la que hablaremos en el próximo artículo, agrega el uso obligatorio de un score de riesgo de fraude en el alta y en el monitoreo, con plazos que corren en paralelo.

LOS ERRORES QUE APARECEN EN LAS PRIMERAS CONSULTAS

Son los que aparecen en las primeras consultas, a días de publicada la norma. Aprobar una política antifraude genérica, copiada de un banco o con un uso acrítico de la inteligencia artificial, que no menciona los productos que la empresa realmente opera. Definir un apetito al riesgo en adjetivos ("bajo", "moderado") sin una métrica detrás. Designar responsable a alguien que reporta al gerente comercial. Confundir el mapa de procesos críticos con el organigrama. Y el más costoso: comprar una herramienta de monitoreo antes de haber decidido qué se quiere detectar, para después escribir la política alrededor de lo que la herramienta ya hace.

En el próximo artículo: el score de fraude de la Comunicación "A" 8473 y qué cambia en el alta de clientes y en el monitoreo transaccional.

Alejandro Emanuel de Dios MONTIEL
Abogado
Socio y Managing Partner de Integria Consulting – Corresponsales de SMS Latinoamérica
Especialista en Integridad Financiera, AML y Medios de Pago - LATAM