2026 Cambios en las normas de la NACHA: ¿Está preparado tu programa de control del fraude?

Hay dos revisiones de las Normas 2026 de la NACHA relacionadas con el control del fraude que las Instituciones Financieras Depositarias Participantes (IFDP) deben conocer, y las fechas de entrada en vigor se acercan rápidamente. Estos cambios en las normas tienen un impacto potencial tanto en las Instituciones Financieras Depositarias de Origen (IFDP) como en las Instituciones Financieras Depositarias Receptoras (IFDR). Es importante comprender estas nuevas normas y el impacto potencial que estas revisiones pueden tener en tus operaciones y en tus clientes originarios.

Según las normas actuales de la NACHA, los originadores deben utilizar un sistema de detección de transacciones fraudulentas "comercialmente razonable" para examinar los adeudos WEB y cuando utilicen microentradas. Con estas nuevas normas, NACHA ha eliminado la norma "comercialmente razonable" y la ha sustituido por procesos y procedimientos "basados en el riesgo". Los intentos de fraude van en aumento, según datos de la Comisión Federal de Comercio. Estos intentos incluyen tanto las transacciones de débito ACH (pull) como las de crédito ACH (push). Una de las razones del aumento de las estafas de crédito ACH es que la ingeniería social se ha vuelto más sofisticada. Los avances en IA han permitido a los defraudadores crear estafas más convincentes, lo que ha provocado un aumento de las apropiaciones de cuentas. Las estafas de créditos ACH incluyen el Compromiso del Correo Electrónico Empresarial (BEC), el desvío de nóminas, el desvío de pagos a proveedores, las estafas románticas y las plataformas de inversión falsas. Según la NACHA, las nuevas actualizaciones de la Norma pretenden reducir la incidencia de los intentos de fraude con éxito y mejorar la recuperación de fondos después de que se hayan producido los fraudes.

Comprender los cambios en las normas NACHA de 2026

Supervisión del fraude por parte de originadores, proveedores de servicios de terceros/remitentes de terceros y OEDF

Esta modificación de la Norma exige que cada ODFI, Originador no consumidor, Proveedor de Servicios de Terceros y Remitente de Terceros establezca y aplique procesos y procedimientos basados en el riesgo, razonablemente destinados a identificar entradas ACH iniciadas debido a fraude. Cada una de estas partes deberá revisar al menos una vez al año sus procesos y procedimientos y realizar las actualizaciones oportunas para hacer frente a la evolución de los riesgos.

La Norma se aplicará en dos fases:

• Fase 1 – 20 de marzo de 2026:
  • Se aplica a todas las OEDF
  • Se aplica a los originadores no consumidores, a los proveedores de servicios de terceros y a los remitentes de terceros con un volumen anual de originación de ACH superior a 6 millones de entradas en 2023.
• Fase 2 – 19 de junio de 2026:
  • Se aplica a todos los demás Creadores no consumidores, Terceros proveedores de servicios y Terceros remitentes.

Nuevos requisitos para las RDFI: Supervisión del crédito ACH

Esta modificación de la Norma exige a las RDFI que establezcan y apliquen procesos y procedimientos basados en el riesgo, razonablemente destinados a identificar las entradas ACH de crédito iniciadas debido a fraude. Las RDFI tendrán que revisar al menos una vez al año sus procesos y procedimientos y realizar las actualizaciones oportunas para abordar la evolución de los riesgos. Esta Norma también se aplicará en dos fases:

• Fase 1 – 20 de marzo de 2026:
  • Se aplica a las RDFI con un volumen anual de recepción de ACH superior a 10 millones de entradas en 2023.
• Fase 2 – 19 de junio de 2026:
  • Se aplica a todos los demás RDFI.

Hay que tener en cuenta que las nuevas Normas exigen la supervisión de las "Falsas Pretensiones", un nuevo término que abarca las estafas de crédito ACH habituales. La definición de la NACHA de Falsas Simulaciones es la inducción a un pago por parte de una Persona que falsea (a) su identidad, (b) su asociación con otra Persona o su autoridad para actuar en nombre de otra Persona, o (c) la titularidad de una cuenta en la que se va a realizar un abono.

Descripciones de entrada en la empresa

Para ayudar a los PDFI a controlar los pagos con fines específicos, también hay modificaciones de las normas relacionadas con las Descripciones de entrada de la empresa. Para los créditos PPD para el pago de sueldos y salarios, el campo Descripción de entrada de la empresa debe contener la descripción "NÓMINA". Además, las compras de comercio electrónico deben contener la descripción "COMPRA". Los IFD, los originadores y los proveedores de servicios de terceros deberán cumplir esta norma antes del 20 de marzo de 2026. Las IFD tienen la opción de utilizar esta información como parte de sus prácticas de control del fraude, pero no están obligadas a hacerlo.

Próximos pasos para las entidades financieras

Los PDFI deben confirmar en primer lugar que su institución financiera ha establecido y aplicado procesos y procedimientos basados en el riesgo, razonablemente destinados a identificar entradas ACH (tanto cargos como abonos) que puedan iniciarse debido a un fraude. Esto incluye

• Identificar los sistemas de control del fraude que se utilizan.
• Activar banderas de alerta específicas para detectar posibles fraudes ACH.
• Asignar la responsabilidad del seguimiento de estas alertas.
• Determinar el momento de la supervisión (por ejemplo, en tiempo real o posterior a la transacción).
• Establecer procedimientos a seguir cuando se detecte una actividad fraudulenta.

La Norma no impone "umbrales mínimos" específicos de valor en dólares para la detección del fraude, y se espera que los PDFI mantengan líneas de base para diferenciar entre la actividad típica y la actividad potencialmente anómala. Además, la integración de los resultados de los esfuerzos de supervisión del fraude en el flujo de trabajo de cumplimiento más amplio es esencial, ya que la actividad fraudulenta confirmada que supere los umbrales de notificación reglamentarios, incluidos los iniciados a través de "Falsos Fingimientos", desencadena obligaciones obligatorias de notificación de actividades sospechosas (SAR).

Las instituciones financieras también deben asegurarse de que su evaluación de riesgos de fraude ACH está actualizada y refleja la evolución de los riesgos de fraude contemplados en las nuevas normas de la NACHA. Si la institución no ha realizado recientemente una evaluación de riesgos de fraude específica para la actividad de ACH, la dirección debe considerar la posibilidad de realizar o actualizar una para evaluar las posibles vulnerabilidades relacionadas con las transacciones de débito y crédito de ACH, incluidas las conspiraciones que implican falsos pretextos. Los resultados de esta evaluación deben utilizarse para fundamentar el diseño y la aplicación de los procesos y procedimientos de supervisión basados en el riesgo que exigen las normas actualizadas.

Si se determina que será necesario actualizar los procedimientos de control del fraude para cumplir las nuevas Normas, deberán actualizarse las políticas y procedimientos aplicables para reflejar los nuevos procesos. Las IFPD deben actualizar sus políticas para exigir una revisión anual de los procesos de control del fraude, garantizando su eficacia. La revisión debe documentarse, y los resultados deben compartirse con la dirección ejecutiva y/o el consejo. Debe impartirse formación a los empleados correspondientes para garantizar el conocimiento y la comprensión de los procesos y controles establecidos para cumplir las nuevas normas de control del fraude.

Las OEDF también deben determinar si sus instituciones financieras tienen originadores no consumidores, terceros remitentes o terceros proveedores de servicios. Aunque las instituciones financieras suelen estar familiarizadas con las prácticas de control del fraude, sus originadores no consumidores pueden no estarlo. Es posible que estos originadores no dispongan de procedimientos para identificar las entradas ACH iniciadas por fraude. Las OEDF deben asegurarse de que estas partes conocen las nuevas normas y obtener una comprensión de su plan para abordar y cumplir los requisitos de la norma en el plazo establecido aplicable. Además, puede que sea necesario actualizar los acuerdos ACH del originador para garantizar que abordan las responsabilidades de supervisión del fraude del originador.

Navega por el cumplimiento con confianza

Si tienes preguntas sobre cómo pueden afectar a tu entidad estas nuevas normas de la NACHA, ponte en contacto con un miembro del equipo de servicios de asesoramiento sobre riesgos de Kaufman Rossin. Nuestros experimentados profesionales pueden ayudarte a analizar tus procesos actuales, identificar posibles lagunas y ofrecerte recomendaciones sobre mejoras de control para reforzar tu programa de vigilancia del fraude y mitigar el riesgo de incumplimiento de los requisitos de la Norma NACHA.