El score de fraude del BCRA: quién lo arma, qué quedó abierto y qué enseña la experiencia comparada

Alejandro Emanuel de Dios Montiel | Los tres artículos anteriores explicaron qué exigen las Comunicaciones "A" 8471 y "A" 8473 del Banco Central de la República Argentina (BCRA) y qué tiene que hacer cada tipo de proveedor de servicios de pago. Este último se hace las preguntas que los directorios formulan cuando termina la presentación operativa: ¿quién va a construir ese score, con qué reglas, qué puede salir mal, y hay algún país que ya haya recorrido este camino? | 29/09/2026

LO QUE ESTÁ DEFINIDO Y LO QUE NO

Sobre el quién, la Comunicación "A" 8473 es precisa en el nivel del sujeto y deliberadamente abierta en el nivel del método.

El sujeto son los administradores de esquemas de pago de transferencias inmediatas. Conforme la información publicada por el propio BCRA en el marco de Transferencias 3.0, hoy son tres: COELSA, Red Link y Newpay, la sociedad que desde agosto de 2023 continúa a Prisma Medios de Pago en esa función conforme la Comunicación "A" 7812. Cada entidad financiera y cada PSPCP participa en al menos uno de esos esquemas. El BCRA les entrega la información a ellos, en forma exclusiva, y ellos producen el score.

El método, en cambio, no está en la norma. El punto 4 dice que los administradores elaborarán el score "conforme a la metodología que entre sí consensuen". Es una delegación explícita: el regulador provee el insumo y fija los requisitos de salida, pero no define el modelo. Lo que sí define son las condiciones de gobernanza de ese modelo: metodología completa y documentada, medidas estadísticas de robustez, calibración y poder discriminatorio, revisión independiente al menos semestral acreditada ante la Gerencia de Supervisión Especializada y la Gerencia de Sistemas de Pago, actualización periódica documentada, y la facultad del BCRA de exigir modificaciones cuando el modelo no presente suficiente poder predictivo.

TRES CONSECUENCIAS PRÁCTICAS SE DESPRENDEN DE ESE DISEÑO

Primera, la norma habla de "el score", en singular, y de una metodología consensuada, pero no dice expresamente que deba existir un único modelo. Si los tres administradores consensúan una metodología y cada uno la corre sobre su propia información transaccional, una misma persona podría tener puntajes distintos según el esquema por el que se la consulte. Para una entidad que participa en más de un esquema, eso es un problema de diseño de política que hay que resolver antes de recibir el primer archivo.

Segunda, los administradores son sociedades cuyos accionistas incluyen a entidades que a su vez son usuarias del score, y en algunos casos cumplen funciones adicionales dentro del esquema. El BCRA ya había marcado en 2021, mediante la Comunicación "A" 7367 del 17 de septiembre de ese año, que no incurrir en conductas anticompetitivas en perjuicio de los participantes es condición esencial de la autorización de los administradores. Un score construido por quien también compite con parte de sus usuarios exige una gobernanza de modelo muy transparente, y la norma solo la asegura hacia el supervisor, no hacia los participantes.

Tercera, el punto de partida del reloj para las entidades es la documentación técnica que entreguen los administradores. Ese documento va a ser, en la práctica, la única ventana que una billetera tendrá sobre cómo se calcula el puntaje que la norma le obliga a usar. Conviene leerlo con alguien que sepa de modelos, no solo de cumplimiento.

EL INSUMO: QUÉ ENTRA Y QUÉ NO

El BCRA entrega mensualmente información sobre personas humanas que es pública, se deriva de fuentes públicas o, si toca datos no públicos, va en forma mínima o agregada. A eso los administradores deben sumar la información de la Central de Prevención de Fraude, creada por la Comunicación "A" 8298 de 2025 e incorporada como punto 2.6 del texto ordenado sobre Sistema Nacional de Pagos, Transferencias, Normas Complementarias; la Comunicación "B" 13117, del 10 de febrero de 2026, aclaró que el reporte y la consulta son obligatorios para entidades financieras, PSPCP y administradores de esquemas. Pueden agregar además la información transaccional que procesan y acuerden compartir.

Dos límites del alcance merecen atención. El score cubre solo personas humanas; las personas jurídicas quedan fuera, y buena parte del fraude organizado opera a través de sociedades de fachada y cuentas de empresas. Y la señal se construye sobre el ecosistema de transferencias inmediatas: se entrega a quienes las originan, pero el uso obligatorio en el monitoreo alcanza a todas las modalidades de transferencias comprendidas en el texto ordenado sobre Sistema Nacional de Pagos, Transferencias, Normas Complementarias. Otros instrumentos de pago quedan fuera. Es un primer paso acotado, no un sistema integral.

LOS PROBLEMAS QUE CONVIENE TENER EN LA AGENDA

Circularidad. La Central de Prevención de Fraude se nutre de lo que reportan las propias entidades. Un reporte erróneo o apresurado alimenta un score que otras entidades usan para decidir, y esas decisiones generan nuevos reportes. Conforme nuestro relevamiento, ese es el riesgo estructural de toda base compartida de fraude: la calidad del score depende de la disciplina de reporte de todos, y el incentivo individual es reportar de más para protegerse. Sin un mecanismo de corrección claro y retroalimentaciones recurrentes como ocurre en el caso de los ROS en el marco de la normativa AML, los falsos positivos se vuelven sistémicos.

Exclusión. Un puntaje alto puede recaer sobre personas que nunca cometieron fraude: quien fue víctima y su cuenta se usó como escala, quien recibió fondos de un tercero sin saber su origen, quien comparte datos con un homónimo, quien tiene poca historia porque acaba de entrar al sistema. La norma intenta mitigarlo con dos reglas, la prohibición de fundar decisiones exclusivamente en el score y la exigencia de criterios objetivos, razonables y de aplicación general. Pero esas reglas se cumplen en la política de cada entidad, y si todas las entidades calibran umbrales parecidos sobre el mismo score, el efecto agregado puede ser una exclusión de facto que ninguna de ellas decidió individualmente. El BCRA lleva años impulsando la inclusión financiera a través de las cuentas de pago; este es el punto donde las dos agendas pueden chocar.

Datos personales. El score es un perfil sobre una persona identificada, elaborado y cedido entre privados por mandato regulatorio. La Ley 25.326 reconoce derechos de acceso, rectificación y supresión, y la norma no prevé cómo una persona se entera de su puntaje ni ante quién lo impugna. El régimen de confidencialidad del punto 9 está pensado para evitar filtraciones, no para dar al titular una vía de corrección. Es previsible que la Agencia de Acceso a la Información Pública y los tribunales de consumo tengan algo que decir cuando aparezcan los primeros reclamos.

Responsabilidad asimétrica. El punto 6.3 dice que el uso del score no altera la responsabilidad de las entidades en materia de prevención del fraude. Traducido: la entidad debe usar un modelo que no diseñó, cuya metodología conoce por un documento y cuya revisión independiente no ve, y sigue respondiendo por el resultado. Es una asimetría que las entidades no pueden corregir, pero sí pueden documentar: registrar qué peso le dieron al score en cada política y por qué, es hoy la mejor protección ante un sumario o un reclamo.

Comportamiento gregario. Cuando todos los participantes usan la misma señal, los defraudadores también aprenden a leerla. Un score compartido reduce el fraude oportunista y sofistica al fraude organizado. La ventaja competitiva de cada entidad va a estar en lo que agregue por encima del score, no en el score mismo.

LO QUE MUESTRA LA EXPERIENCIA COMPARADA

Dos jurisdicciones eligieron caminos distintos frente al mismo problema y sirven de espejo.

Brasil optó por la infraestructura. El Banco Central do Brasil construyó el DICT, el directorio de identificadores de cuentas de Pix, y le agregó marcaciones de fraude que todos los participantes consultan. El sistema evolucionó en capas entre 2021 y 2025: el mecanismo especial de devolución para casos de fundada sospecha de fraude (Resolución BCB 103/2021, que modificó el reglamento del Pix aprobado por la Resolución BCB 1/2020); la regla de que cada participante responde por los fraudes derivados de fallas en sus propios mecanismos de gestión de riesgos (artículo 3 de ese reglamento, según la Resolución BCB 147/2021); la obligación de verificar cada seis meses las marcaciones de fraude del DICT sobre la propia base de clientes y de incorporar esa información al motor antifraude (Resolución BCB 403/2024); la consulta obligatoria del registro BC Protege+ antes de abrir cuentas o incorporar titulares (Resolución BCB 475/2025 e Instrucción Normativa BCB 661/2025, vigentes desde el 1 de diciembre de 2025); y el rechazo compulsivo de transacciones dirigidas a cuentas con fundada sospecha de fraude, extendido más allá del Pix (Resolución BCB 501/2025), junto con el rechazo de operaciones y de registro de claves para usuarios con marcación de fraude (Resolución BCB 506/2025). La arquitectura argentina se parece a la brasileña en lo esencial: información centralizada en el banco central, señal compartida y uso obligatorio en alta y monitoreo. La diferencia está en la regla de decisión. Brasil llegó, tras cuatro años, al rechazo obligatorio; Argentina arranca con la prohibición de decidir solo por el score. Conforme nuestro relevamiento, la trayectoria brasileña sugiere que ese punto de partida no es el punto de llegada.

El Reino Unido optó por la responsabilidad. Por disposición del Payment Systems Regulator, desde el 7 de octubre de 2024 los proveedores de pago deben reembolsar a las víctimas de fraude por transferencia autorizada, con un tope de 85.000 libras por reclamo y con el costo repartido en partes iguales entre la entidad ordenante y la receptora. La decisión de cargar a la entidad receptora fue deliberada: por primera vez se puso un incentivo económico sobre quien abre y mantiene las cuentas que reciben el fraude. Ese régimen se apoya en una infraestructura previa, la confirmación de titular del beneficiario, que ya cubre a cientos de proveedores, y está bajo una revisión independiente del primer año de funcionamiento, iniciada por el propio regulador en octubre de 2025, cuyos resultados se esperan durante 2026 y 2027. El paralelo con la Comunicación "A" 8473 está en una palabra: la norma argentina exige aplicar el score tanto a ordenantes como a receptores. Es la misma intuición que el regulador británico convirtió en dinero.

Otros modelos. Hay jurisdicciones donde la base compartida de fraude no es del regulador sino de la industria, administrada por entidades sin fines de lucro o por consorcios de bancos, con reglas de reciprocidad: quien consulta, aporta. Ese diseño resuelve mejor el problema de circularidad, porque el que reporta mal pierde acceso, pero exige una madurez asociativa que en la región todavía no existe.

QUÉ SUGIERE TODO ESTO PARA UN DIRECTORIO ARGENTINO

La Comunicación "A" 8473 es un primer escalón. Toma la arquitectura brasileña, la aplica sobre un universo acotado, personas humanas y transferencias inmediatas, y deja la regla de decisión en manos de cada entidad. Si la experiencia comparada sirve de guía, lo que viene después es alguna combinación de reglas de rechazo más duras, ampliación a personas jurídicas y otros rieles, y en algún momento la conversación sobre quién paga el fraude cuando la señal existía y no se usó.

Las entidades que preparen hoy la gobernanza del uso del score, con un peso documentado, un circuito de revisión humana y una trazabilidad que resista un reclamo, van a poder absorber esos cambios sin rehacer nada. Las que lo instalen como un umbral automático, es previsible que en 2027 tengan que explicar por qué excluyeron a quien no debían y por qué dejaron pasar a quien sí.
 

Alejandro Emanuel de Dios MONTIEL
Abogado
Socio y Managing Partner de Integria Consulting – Corresponsales de SMS Latinoamérica
Especialista en Integridad Financiera, AML y Medios de Pago - LATAM