En esta noticia
- De reaccionar ante el fraude a gestionar el riesgo de fraude
- Un riesgo que atraviesa toda la organización
- El rol del Directorio y la alta dirección
- Fraude y Seguridad de la Información: dos caras de un mismo riesgo
- La prevención no termina en la tecnología
- El desafío de aprender de los incidentes
- Un proceso que ya está en marcha
- Una oportunidad para integrar capacidades
La nueva regulación del BCRA plantea una mirada más integral sobre el fraude.
Este ocupa un lugar cada vez más relevante dentro de la gestión de riesgos de las organizaciones financieras.
La digitalización de los servicios, el crecimiento de los canales remotos y la incorporación constante de nuevas tecnologías ampliaron las posibilidades de operar, pero también generaron nuevos escenarios de exposición.
En este contexto, el Banco Central de la República Argentina estableció, mediante la Comunicación A 8471/2026, nuevas disposiciones relacionadas con la gestión del riesgo de fraude para entidades financieras y Proveedores de Servicios de Pago (PSP).
La norma incorpora el riesgo de fraude dentro del marco de gestión del riesgo operacional y establece lineamientos relacionados con su identificación, evaluación, seguimiento, control y mitigación.
Para las entidades financieras, las nuevas disposiciones entrarán en vigencia el 1 de diciembre de 2026, mientras que para determinados PSP existe un esquema de implementación gradual que se extiende hasta septiembre de 2027.
Pero más allá de las fechas y los requisitos específicos, la norma refleja un cambio de enfoque importante:
El fraude comienza a ser tratado como un riesgo que debe gestionarse de manera sistemática y no solamente como un incidente que debe resolverse cuando ocurre.
De reaccionar ante el fraude a gestionar el riesgo de fraude
Tradicionalmente, muchas organizaciones abordaron los casos de fraude desde una lógica principalmente reactiva.
Ocurre un incidente, se analiza lo sucedido, se intenta contener el impacto y posteriormente se incorporan medidas para evitar que vuelva a ocurrir.
Ese enfoque resulta insuficiente frente a un escenario donde las modalidades de fraude evolucionan constantemente.
La nueva regulación plantea un proceso más amplio: identificar los riesgos, evaluarlos, establecer controles, monitorearlos y definir mecanismos de mitigación.
La diferencia es importante.
No se trata solamente de detectar una operación sospechosa. Se trata de comprender por qué esa operación pudo ocurrir, qué controles deberían haber intervenido, qué información estaba disponible y qué cambios pueden reducir la probabilidad de que vuelva a suceder.
Esto convierte al fraude en una cuestión de gestión y no únicamente de respuesta.
Un riesgo que atraviesa toda la organización
Uno de los aspectos más relevantes es que el fraude difícilmente pueda gestionarse desde una única área.
Puede involucrar procesos comerciales, tecnología, operaciones, seguridad de la información, cumplimiento, legales, prevención de lavado y gestión de riesgos.
Un fraude puede comenzar con una debilidad en un proceso, aprovechar una vulnerabilidad tecnológica, involucrar credenciales comprometidas y terminar generando un impacto operativo, financiero y reputacional.
Por eso, analizar cada riesgo de manera aislada puede generar puntos ciegos.
La gestión necesita una mirada transversal que permita entender cómo interactúan personas, procesos, tecnología e información.
El rol del Directorio y la alta dirección
La Comunicación A 8471 también refuerza la dimensión de Gobierno del Riesgo de Fraude.
La gestión no queda exclusivamente en manos de las áreas operativas o técnicas. La alta dirección necesita recibir información que permita comprender la exposición de la organización y tomar decisiones.
Para las entidades financieras, la normativa contempla reportes periódicos al Directorio con información sobre indicadores, incidentes relevantes, métricas, medidas correctivas, nuevas metodologías de fraude y oportunidades de mejora.
Esto introduce una cuestión fundamental: no se puede gestionar aquello que no se puede medir y comunicar adecuadamente.
Contar con indicadores no significa simplemente acumular datos.
Significa seleccionar información que permita identificar tendencias, detectar desvíos, establecer prioridades y evaluar si las medidas implementadas están teniendo el efecto esperado.
Fraude y Seguridad de la Información: dos caras de un mismo riesgo
La relación entre fraude y seguridad de la información resulta cada vez más evidente.
Las organizaciones financieras dependen de aplicaciones, canales digitales, APIs, dispositivos, sistemas de autenticación y proveedores tecnológicos. Cada uno de estos elementos forma parte de un ecosistema que puede ser utilizado para prevenir un fraude, pero también puede convertirse en un punto de exposición.
Por eso, una estrategia antifraude difícilmente pueda funcionar de manera aislada de la Gestión de Seguridad.
Una vulnerabilidad puede facilitar un acceso no autorizado.
Una debilidad en la gestión de identidades puede permitir el uso indebido de una cuenta.
Un proveedor comprometido puede afectar un proceso crítico.
Un incidente de seguridad puede terminar generando pérdidas económicas y operativas.
La frontera entre fraude, riesgo operacional y ciberseguridad es cada vez más difícil de delimitar.
Y esto obliga a pensar los controles de manera integrada.
La prevención no termina en la tecnología
La incorporación de herramientas de monitoreo, analítica o inteligencia artificial puede mejorar considerablemente la capacidad de detección.
Pero ninguna herramienta reemplaza una estructura de gestión adecuada.
La efectividad de un programa antifraude depende también de cuestiones menos visibles: responsabilidades claras, procesos documentados, capacitación, criterios de escalamiento, mecanismos de respuesta y capacidad de aprendizaje.
Incluso la mejor tecnología puede resultar insuficiente si nadie sabe quién debe actuar ante una alerta, si el procedimiento no está definido o si la información necesaria para investigar un incidente no está disponible.
Por eso, la prevención requiere combinar tecnología, procesos y personas.
El desafío de aprender de los incidentes
Una organización resiliente no debería medir su madurez solamente por la cantidad de incidentes que logra evitar.
También debería observar qué sucede cuando un incidente ocurre.
¿Puede detectarlo rápidamente?
¿Puede determinar su alcance?
¿Puede contenerlo?
¿Puede recuperar la operación?
¿Puede identificar la causa?
¿Puede corregir las debilidades que permitieron que ocurriera?
¿Puede incorporar lo aprendido a sus controles?
Esta capacidad de adaptación es parte central de la ciberresiliencia.
La respuesta ante un incidente no debería terminar cuando se restablece el servicio. El incidente también debería convertirse en información para mejorar procesos, controles y decisiones futuras.
Un proceso que ya está en marcha
Para los PSP que ofrecen cuentas de pago, el BCRA estableció un cronograma gradual de implementación.
La primera etapa, iniciada en septiembre de 2026, contempla aspectos como la definición de estructuras, políticas, responsables, apetito y tolerancia al riesgo, además de la identificación de riesgos operacionales y de fraude.
Las siguientes etapas avanzan sobre la documentación de procesos, procedimientos, autoevaluaciones y planes de mitigación, hasta alcanzar la vigencia plena en septiembre de 2027.
El cronograma deja algo claro: la gestión del riesgo de fraude requiere construcción progresiva.
Relevar procesos, identificar riesgos, diseñar controles, documentar procedimientos y medir resultados no son tareas que puedan resolverse de manera efectiva en el último momento.
Una oportunidad para integrar capacidades
La nueva regulación puede representar una exigencia adicional para las organizaciones alcanzadas, pero también puede servir como punto de partida para revisar capacidades que muchas veces evolucionaron de manera separada.
Fraude, riesgo operacional, seguridad de la información, continuidad y gobierno pueden formar parte de una misma conversación.
Cuando estas capacidades se integran, la organización obtiene una visión más completa de su exposición y puede tomar decisiones con mayor información.
El desafío no consiste únicamente en cumplir con los requerimientos establecidos.
Consiste en desarrollar una capacidad permanente para anticipar riesgos, prevenir, detectar, responder, recuperar y aprender.
En un ecosistema financiero cada vez más digital, esa capacidad será tan importante como cualquier control específico.
Y probablemente sea uno de los elementos que diferencie a las organizaciones que simplemente reaccionan ante los incidentes de aquellas que están realmente preparadas para atravesarlos.
Fuente:
https://www.argentina.gob.ar/normativa/nacional/norma-429545/texto
