Cambios en las reglas de fraude de NACHA para 2026: Guía de preparación

Última actualización: octubre de 2026

Las normas de fraude de NACHA de 2026 ya están vigentes. La Fase 1 entró en vigor el 20 de marzo de 2026 y la Fase 2 el 19 de junio de 2026, por lo que cada ODFI, originador no consumidor, proveedor de servicios externo, remitente externo y RDFI en la Red ACH tiene ahora la obligación de supervisar el fraude. Las normas establecen lo que cada participante debe ser capaz de hacer y dejan el método a su elección. Esta guía convierte eso en un programa operativo, rol por rol: el control, el registro que demuestra su ejecución, el responsable a cargo y la revisión anual.

Resumen rápido

• Ambas fases están en vigor. La Fase 1 (20 de marzo de 2026) cubrió a todas las ODFI, además de a originadores no consumidores, proveedores de servicios externos y remitentes externos que originaron 6 millones o más de entradas ACH en 2023, y RDFI que recibieron 10 millones o más en 2023. La Fase 2 (19 de junio de 2026, en la práctica el 22 de junio) eliminó los umbrales.

• La obligación se basa en el riesgo y depende de su rol: procesos razonablemente diseñados para identificar entradas no autorizadas o autorizadas bajo falsos pretextos, revisados al menos una vez al año.

• El concepto de falsos pretextos no es nuevo en 2026. La definición y los cambios en el código de devolución R17 entraron en vigor el 1 de octubre de 2024.

• Estar preparado se reduce a cuatro elementos por rol: un control, un registro de su ejecución, un responsable asignado y una revisión anual fechada.

• Una deficiencia común es la falta de claridad en la responsabilidad. Fraude, operaciones, gestión de tesorería y BSA gestionan una parte cada uno, y a menudo nadie supervisa el proceso completo.

¿Qué exigen las normas de fraude de NACHA de 2026?

Las normas de fraude de NACHA de 2026 exigen que cada ODFI, originador no consumidor, proveedor de servicios externo y remitente externo ejecute procesos y procedimientos basados en el riesgo, adaptados a su función, que estén razonablemente diseñados para identificar entradas ACH no autorizadas o autorizadas bajo falsos pretextos. Las RDFI tienen la misma obligación para los créditos que reciben. Todas las partes deben revisar esos procesos al menos una vez al año y actualizarlos según evolucionen los riesgos.

Para la parte originadora, el texto de Nacha indica que cada parte debe «establecer e implementar procesos y procedimientos basados en el riesgo, pertinentes para el rol que desempeña... razonablemente diseñados para identificar entradas sospechosas de no estar autorizadas o de haber sido autorizadas bajo falsos pretextos». Las palabras «pertinentes para el rol que desempeña» explican por qué esta guía se organiza por roles. Una ODFI, un originador y una RDFI ven partes distintas del mismo pago, por lo que cada uno necesita sus propios controles.

Las reglas definen el resultado esperado y dejan el método abierto. Esto da a cada institución margen para adaptar la supervisión a su propio riesgo, pero también implica que debe justificar su enfoque. Para ver la lista completa de lo que cambió en el paquete de 2026 y cuándo, consulte qué cambió en las normas de Nacha de 2026. Esta guía se centra en cómo gestionar los controles.

A quiénes aplica y cuándo comenzó cada obligación

La Fase 1 de la norma de supervisión de fraude entró en vigor el 20 de marzo de 2026. Se aplicó a todas las ODFI sin importar el volumen; a originadores no consumidores, proveedores de servicios externos (TPSP) y remitentes externos (TPS) con un volumen anual de originación ACH de 6 millones o más en 2023; y, para el monitoreo de créditos, a RDFI con un volumen de recepción ACH anual de 10 millones o más en 2023. La Fase 2 entró en vigor el 19 de junio de 2026 y eliminó los umbrales de volumen para todos los demás.

El umbral de 6 millones nunca se aplicó a las ODFI. Todas las ODFI han estado cubiertas desde el 20 de marzo de 2026.

Dado que el 19 de junio de 2026 fue feriado federal, Nacha fijó el lunes 22 de junio de 2026 como la fecha de entrada en vigor práctica para la Fase 2. Como ambas fases ya están en marcha, la duda para la mayoría de las entidades no es cuándo empezar, sino si el programa funciona.

El alcance aún confunde a algunos participantes. El director de tesorería y cumplimiento de una empresa de pagos que no permite a sus clientes enviar créditos comentó: «Realmente no sé cómo nos afecta, ¿cierto?». El primer pilar de la norma contempla entradas sospechosas de no estar autorizadas, y el texto de Nacha para las partes originadoras se refiere a las entradas en general, no solo a los créditos. Quien origina solo débitos sigue participando en la autorización o transmisión de entradas.

Los remitentes externos también deben responder ante el banco que los patrocina. Un líder de cumplimiento en una fintech señaló la necesidad de mostrar un plan sólido a su banco patrocinador y fue directo al respecto: «más vale tener un contrato firmado y no solo buenas intenciones». El banco patrocinador puede rescindir la relación, por lo que la preparación del remitente externo también concierne a la ODFI.

Junto a la norma de supervisión de fraude hay dos cambios relacionados. La definición de falsos pretextos y los ajustes al código de devolución R17 entraron en vigor el 1 de octubre de 2024. Desde el 20 de marzo de 2026, los originadores deben usar la descripción de entrada de empresa «PAYROLL» para créditos PPD de nóminas y «PURCHASE» para débitos de compras de comercio electrónico de consumidores.

Preparación por rol: controles, evidencias y responsables

Estar al día con las normas de fraude de NACHA de 2026 implica cuatro aspectos por cada rol que ejerza la entidad: qué vigila, el control que realiza el monitoreo, el registro que prueba su ejecución y el responsable a cargo. Muchas entidades cumplen más de un rol. Un banco que origina para empresas y recibe créditos para consumidores actúa como ODFI y RDFI, por lo que debe cubrir ambas áreas.

Cada fila debe corresponder a un procedimiento por escrito. Si alguna no tiene un responsable asignado o no genera registros, esa es la primera brecha que debe resolverse.

Parte originadora: controle qué cambió, no solo el importe

Los umbrales de importe detectan cifras fuera de lo normal, pero el fraude por falsos pretextos suele mantener cantidades habituales. Un responsable de tesorería bancaria describió el caso de un originador engañado por un fraude de correo electrónico corporativo (BEC) que cambió la cuenta de pagos de limpieza: «cambió el destino del pago, pero no el importe, y no saltó la alerta». El proveedor era de confianza, por lo que nada levantó sospechas salvo la cuenta bancaria.

Por eso, el control del lado originador debe tratar cualquier cambio en los datos bancarios del beneficiario como un evento que exige verificación, sin importar la suma. El mismo directivo señaló otro riesgo: evaluar al originador no previene el fraude interno que cometa un empleado desleal. El monitoreo de la ODFI debe revisar las entradas, no solo a los clientes que las emiten.

Parte receptora: supervise los créditos entrantes

Las RDFI están obligadas a monitorear los créditos recibidos. Un director de operaciones de sucursales bancarias incluyó la supervisión de ACH entrante entre sus preguntas para proveedores, ya que el banco debía ser capaz de detectar fraudes en estas entradas. Un responsable de prevención de pérdidas bancarias describió los controles iniciales: confirmar que el nombre del crédito coincida con el titular de la cuenta y vigilar importes elevados.

La regla de Nacha también se basa en el riesgo para las RDFI. No exige supervisar los créditos antes de acreditarlos; lo que requiere es un proceso razonablemente diseñado para identificar créditos sospechosos y un plan para gestionarlos.

Remitentes externos: dos niveles de exigencia

Un TPS o TPSP tiene obligaciones propias según su rol. Además, debe satisfacer las exigencias de su ODFI, que responde por las entradas procesadas en la Red ACH. En la práctica, el TPS debe mantener sus revisiones de clientes y registros de alertas listos para presentarlos a su banco patrocinador si este los solicita.

Un mismo programa, diferentes tiempos

Los canales de pago operan a distintos ritmos. Un responsable de fraude en una cooperativa de crédito señaló que los ACH y cheques se revisan por lotes varias veces al día, las transferencias electrónicas y la banca en línea en tiempo real, y los débitos en un lote al cierre. El control de ACH forma parte de un entorno más amplio, y una puntuación de fraude que evalúe cada canal por separado puede pasar por alto a un usuario que mueve fondos entre ambos. Para evaluar este aspecto, consulte nuestra guía sobre evaluación de modelos de fraude en tarjetas, ACH y transferencias.

Qué busca el monitoreo de falsos pretextos

Los falsos pretextos son el patrón de fraude que la norma señala junto con las entradas no autorizadas. Nacha lo define como «la incitación a un pago mediante una persona que falsea (a) su identidad, (b) su relación con otra persona o la autorización para actuar en su nombre, o (c) la titularidad de una cuenta que va a recibir un crédito». Esta definición y las modificaciones al código de devolución R17 entraron en vigor el 1 de octubre de 2024.

En la práctica, incluye fraudes por correo electrónico corporativo (BEC), suplantación de proveedores o nóminas, y declaraciones falsas sobre la titularidad de la cuenta receptora. Solo el fraude por BEC causó pérdidas por 3050 millones de dólares reportadas al Centro de Denuncias de Delitos en Internet del FBI en 2025. Dado que un cliente legítimo autoriza la transacción, los controles diseñados para detectar robo de credenciales suelen pasarlo por alto.

Las señales varían según la fase del pago:

• Parte originadora: solicitudes para modificar los datos bancarios de un beneficiario habitual (sobre todo por correo electrónico); cambios de nómina pedidos poco antes del pago; pagos a cuentas que el originador nunca antes había utilizado.

• Parte receptora: créditos entrantes donde el nombre no coincide con el titular de la cuenta; cuentas recién abiertas con créditos elevados; abonos provenientes de distintos originadores sin relación entre sí dirigidos a una sola cuenta.

La definición tiene sus límites. Las estafas donde nadie falsea su identidad, autoridad o titularidad de la cuenta receptora (como fraudes de inversiones, compras ficticias o engaños sentimentales) quedan fuera de este marco. Detectar esos casos se aborda en nuestra guía sobre fraude en pagos autorizados inmediatos.

En el lado receptor, la cuenta que capta el dinero suele ser una cuenta mula. Para saber cómo identificarlas, consulte nuestra guía para detectar cuentas mula.

Quién asume la responsabilidad: fraude, cumplimiento, operaciones y tesorería

La definición del responsable suele ser el punto donde muchos programas se estancan. La norma involucra a operaciones ACH, tesorería, fraude y BSA; y cada equipo puede asumir que la responsabilidad corresponde a otro.

Un director de operaciones de depósitos y sucursales bancarias explicó su situación: «Tenemos un comité de fraude, pero nadie en concreto que lo lidere de lleno. Cada área hace su parte». En ese banco, el canal ACH ni siquiera se vigilaba contra fraudes. Un director de BSA comentó que las tareas de Nacha las gestionaba operaciones, y que BSA solo intervenía por temas de cumplimiento.

La solución consiste en designar un responsable principal y definir quiénes colaboran:

• Responsable principal: una persona que aprueba los procedimientos y la revisión anual; habitualmente el jefe de operaciones ACH, pagos o fraude.

• Colaboradores: fraude (lógica de detección y resolución de alertas), operaciones (gestión de entradas, devoluciones y retenciones), tesorería (incorporación de originadores y comunicación con clientes) y BSA (coordinación con el monitoreo de actividades sospechosas).

• Revisor: gestión de riesgos o auditoría interna, encargados de verificar que el programa se cumpla según lo documentado.

El paso siguiente es decidir si se gestionará como un programa propio o integrado en el plan general de fraude y riesgos. El responsable de productos de tesorería de un banco planteó: «¿podemos integrarlo en el plan general del banco como un módulo más o necesitamos una solución dedicada?». Ambas vías son válidas siempre que los controles ACH cuenten con un responsable designado y sus propios registros.

La dotación de personal también influye. El director de operaciones mencionado antes indicó que el banco no planeaba contratar más personal para ACH y quería evitar revisiones manuales. Un control dependiente de validar cada alerta manualmente se vuelve insostenible al crecer los volúmenes.

La documentación que exigirá un auditor o regulador

Una normativa basada en riesgos permite a la entidad diseñar sus controles, pero le exige fundamentarlos. Un jefe de fraude y resiliencia bancaria celebró la flexibilidad de la norma: «Es estupendo hasta que te toca hablar con los auditores internos y los gestores de riesgos». Disponer de los siguientes registros facilitará esa revisión:

1. Una evaluación de riesgos que detalle cada rol que cumple la institución en la Red ACH, los riesgos de fraude asociados y el motivo por el cual los controles seleccionados son adecuados.

2. Procedimientos documentados para cada función: qué se supervisa, cómo se generan las alertas, quién las gestiona y qué curso sigue una entrada marcada.

3. Registros de alertas y resoluciones que demuestren el funcionamiento del monitoreo y la justificación del cierre de cada caso.

4. Evidencias de acciones tomadas: retenciones, devoluciones, cancelaciones y comunicaciones con otras entidades financieras.

5. La revisión anual, fechada, detallando qué se evaluó, los cambios realizados y su motivo. Nacha exige al menos una revisión al año y actualizaciones frente a nuevos riesgos.

6. Registros de capacitación del personal a cargo de los controles.

Muchos equipos armaron esto sobre la marcha. El director de operaciones citado explicó que el banco tenía una evaluación de riesgos de ACH y actualizaría sus procedimientos, pero no revisaba a los originadores por fraude. Un gestor de proyectos del mismo banco confirmó que el equipo aún estaba definiendo y asimilando los requisitos.

Brechas habituales en la práctica

• Reglas basadas solo en importes. Si cambia el destino de los fondos pero el importe es el habitual, la transacción pasa sin filtros.

• Evaluaciones limitadas al volumen de ACH. Se analiza la cantidad de pagos sin auditar a los originadores que los emiten.

• Falta de un responsable único. El comité se reúne, pero nadie aprueba formalmente los procedimientos ni la revisión anual.

• Revisiones anuales sin fecha. Sin constancia de qué cambió y por qué, resulta difícil demostrar el cumplimiento de la revisión.

• Supervisar solo un lado del pago. Instituciones que operan como ODFI y RDFI a la vez controlan lo que envían, pero descuidan lo que reciben, o al revés.

Cómo ayuda Oscilar

Oscilar es un Nacha Preferred Partner en validación de cuentas, supervisión de fraude y prevención de riesgos. Su propuesta se basa en una plataforma unificada: arquitectura de datos en tiempo real, análisis de dispositivos y comportamiento, reglas y gestión de casos en un solo entorno con agentes integrados de origen. Esto permite centralizar la supervisión y el historial de cada alerta en un mismo lugar.

Para consultar un plan detallado de este proceso, desde la planificación hasta la ejecución de los controles, lea la guía operativa de riesgos de ACH para 2026.

Preguntas frecuentes

¿Exigen las normas de fraude de NACHA que las RDFI supervisen los créditos antes de acreditarlos?

No. La norma exige que las RDFI implementen procesos basados en el riesgo razonablemente diseñados para identificar créditos entrantes no autorizados o autorizados bajo falsos pretextos, y que gestionen los casos detectados. No obliga a realizar ese control antes de que el crédito se haga efectivo.

¿Con qué frecuencia debe revisarse el programa de monitoreo de fraude de NACHA?

Al menos una vez al año. Todas las partes alcanzadas deben evaluar sus procesos y procedimientos de supervisión anualmente y actualizarlos frente a la evolución de los riesgos. Conserve un registro fechado de cada revisión, su alcance y los cambios realizados.

¿Aplica la norma a las entradas de débito?

Para ODFI, originadores y remitentes externos, el texto de Nacha abarca entradas sospechosas de no estar autorizadas o autorizadas bajo falsos pretextos, no solo créditos. Un débito no autorizado encaja en el primer supuesto. La obligación específica de la RDFI es la que se limita a los créditos que recibe.

¿Es nuevo el concepto de falsos pretextos en 2026?

No. La definición de falsos pretextos de Nacha y los cambios al código de devolución R17 entraron en vigor el 1 de octubre de 2024. Lo que se incorporó en 2026 es la obligación de supervisar entradas autorizadas bajo esta modalidad, aplicada en dos fases: el 20 de marzo y el 19 de junio de 2026.