El 27 de agosto de 2026, el Banco Central de la República Argentina (“BCRA”) emitió la Comunicación “A” 8471 (la “Comunicación”), mediante la cual incorporó una serie de disposiciones relativas a la gestión del riesgo de fraude a los Lineamientos para la Gestión de Riesgos en las Entidades Financieras (los “Lineamientos”). La Comunicación alcanza también a los proveedores de servicios de pago, previendo un régimen para los que ofrecen cuentas de pago (“PSPCP”) y otro para las restantes categorías (los “PSP”).

1. El nuevo régimen de gestión del riesgo de fraude

La Comunicación incorpora a los Lineamientos, dentro de la gestión del riesgo operacional, la obligación de contar con un proceso integral, eficaz y sostenible de gestión del riesgo de fraude interno y externo, estructurado en torno a dos ejes: (i) un programa antifraude documentado, que abarque la prevención, la detección, la respuesta y la resolución de los eventos de fraude; y (ii) una función de gestión del riesgo de fraude, que deberá ser desarrollada íntegramente por una unidad o persona responsable específica, o bien por la unidad de riesgo operacional.

La Comunicación establece un contenido mínimo respecto del programa antifraude [1], estipulando revisiones anuales con intervención de la auditoría interna o equivalente de forma previa a su elevación al Directorio.

La unidad o persona a cargo de la función de gestión del riesgo de fraude deberá ser independiente de las unidades de negocio y no podrá estar a cargo de la auditoría interna. Le corresponderá:

(i) elaborar e implementar el programa antifraude, en el marco de la estrategia, las políticas y las prácticas aprobadas por el Directorio;

(ii) gestionar el riesgo de fraude mediante su identificación, evaluación, seguimiento, control y mitigación;

(iii) mantener un plan de respuesta que permita a empleados, clientes y terceros reportar presuntas irregularidades a través de múltiples canales;

(iv) implementar capacitaciones internas periódicas y promover la concientización de los clientes;

(v) llevar una base de datos única, centralizada y sistematizada de denuncias y reportes de fraude, cuyos incidentes deberán integrarse, de manera segregada, a la base de datos de eventos de riesgo operacional y a los registros de Protección de los Usuarios de Servicios Financieros; y

(vi) comunicar por nota a la Superintendencia de Entidades Financieras y Cambiarias (“SEFyC”) toda nueva tipología o modalidad de fraude que identifique, y reportar y consultar a la Central de Prevención de Fraude del BCRA.

2. Proveedores de servicios de pago que ofrecen cuentas de pago

Los PSPCP deberán cumplir con la totalidad de la Sección 6 de los Lineamientos en relación con su función, disponiendo un cronograma de cuatro etapas para su implementación (el “Cronograma”) [2].

Esa Sección regula el régimen completo de gestión del riesgo operacional. En materia de gobierno, comprende las responsabilidades del Directorio y de la Alta Gerencia, la designación de una unidad o persona responsable y la definición del apetito y la tolerancia al riesgo. Comprende además el proceso de identificación, evaluación, seguimiento, control y mitigación, incluidas la gestión del cambio, la tercerización y la continuidad del negocio, la gestión de los riesgos de tecnología y seguridad de la información, y la divulgación al público del enfoque de gestión de ese riesgo.

Su implementación deberá ser proporcional a la dimensión del PSPCP y a la complejidad de sus operatorias, adecuada a su perfil de riesgo y en función de la criticidad de los productos y canales, la exposición al fraude masivo, las características de la base de clientes y el grado de digitalización.

Los PSPCP deberán remitir a la SEFyC un informe sobre el cumplimiento del Cronograma respecto de las dos primeras etapas. Al finalizar la tercera etapa, deberán presentar un informe final suscripto por la máxima autoridad del PSPCP, que incluya un informe especial de auditor externo por el que se certifique el cumplimiento integral de lo requerido por la Sección 6.

3. Restantes proveedores de servicios de pago

A partir del 1 de enero de 2027, los restantes PSP registrados y/o autorizados por el BCRA deberán:

(i) asignar la función de gestión del riesgo de fraude a una unidad o persona responsable;

(ii) realizar una autoevaluación del riesgo de fraude;

(iii) desarrollar un plan para la mitigación del riesgo de fraude; y

(iv) contar con un programa de gestión de los riesgos de tecnología y seguridad de la información.

Las obligaciones de estos proveedores se limitan a la gestión del riesgo de fraude y de los riesgos de tecnología y seguridad de la información. Las restantes disposiciones de la Sección 6 de los Lineamientos alcanzan únicamente a los PSPCP.