Lograr el cumplimiento de Nacha con Oscilar: La vía rápida para un monitoreo proactivo de fraudes ACH

Última actualización: junio de 2026

El cumplimiento normativo es el punto de partida, no la meta final. Este mes comienza la Fase 2 de las nuevas Reglas Operativas de Nacha, lo que eleva el estándar para el monitoreo de fraudes basado en riesgos en toda la red ACH. Para las organizaciones que envían o reciben pagos ACH, la pregunta ya no es si existen controles, sino si estos reflejan la forma real en que el dinero se mueve por la organización: el volumen, la exposición, las vulnerabilidades y los patrones que pueden alertar sobre un fraude.

La regla transforma el monitoreo preventivo de ACH basado en riesgos de ser una práctica recomendada a una obligación clara de cumplimiento. Las organizaciones contempladas deben documentar y mantener procesos y procedimientos basados en riesgos, revisarlos al menos una vez al año y estar preparadas para demostrar su funcionamiento en la práctica. Para las partes recién incorporadas en la Fase 2, los límites de volumen anteriores ya no sirven de excepción. La prevención del fraude ACH ya no puede considerarse responsabilidad exclusiva de un banco, procesador o equipo administrativo. Cada participante debe comprender su función en la red y aplicar un monitoreo acorde con la naturaleza, escala y complejidad de su actividad de ACH.

Las nuevas reglas modifican la forma en que los Originadores, las ODFI, las RDFI, los Terceros Remitentes y los Terceros Proveedores de Servicios detectan y documentan el riesgo de fraude en ACH. Para los Originadores y terceros participantes, esto significa contar con procesos basados en riesgos diseñados razonablemente para identificar transacciones ACH iniciadas debido a un fraude. Para las RDFI, implica realizar un monitoreo basado en riesgos de los créditos ACH entrantes para detectar indicadores de fraude, utilizando patrones de transacciones, características de las cuentas y otras señales relevantes.

Esta guía explica qué significa esto en la práctica: quiénes están cubiertos, qué exigen las reglas, cómo debe documentarse el monitoreo basado en riesgos, qué esperan ver los auditores y en qué aspectos suelen fallar los programas de gestión de riesgos de ACH.

Resumen rápido

• Las reglas de Nacha para 2026 exigen un monitoreo preventivo del fraude ACH basado en riesgos para todas las instituciones financieras de EE. UU., con una aplicación gradual que comienza el 20 de marzo y se extiende a todo el ecosistema el 19 de junio (fecha límite práctica de cumplimiento: 22 de junio).

• Los requisitos abarcan tanto los flujos de origen como los de recepción, incluyendo la evaluación previa al envío, el monitoreo del originador y la detección de cuentas muleras en el lado del crédito por parte de las RDFI.

• Las herramientas tradicionales basadas en reglas fijas no pueden seguir el ritmo de fraudes adaptativos como el compromiso de correo electrónico empresarial (BEC), las estafas de suplantación de identidad, las redes de muleros, la toma de control de cuentas (ATO) y los ataques de ingeniería social.

• El monitoreo debe estar documentado, revisarse anualmente y estar listo para la auditoría anual de cumplimiento de las reglas ACH que vence el 31 de diciembre. Los controles no documentados reprueban la auditoría, incluso si funcionan en la práctica.

• La plataforma de riesgo basada en agentes de Oscilar ofrece detección en tiempo real, datos unificados, controles por capas y documentación lista para auditorías para cumplir con las normas de Nacha para 2026.

¿Qué es el cumplimiento de Nacha?

El cumplimiento de Nacha es la adhesión a las reglas operativas establecidas por Nacha, la organización que gestiona la red ACH en los Estados Unidos. Cada institución financiera, empresa y procesador externo que participa en la red ACH acepta seguir estas reglas como condición para utilizar la red.

En 2026, el cumplimiento de Nacha incluye cuatro obligaciones fundamentales:

• Monitoreo de fraudes en el origen. Cada ODFI y cada originador no consumidor, Tercero Proveedor de Servicios y Tercero Remitente deben ejecutar procesos basados en riesgos para identificar transacciones ACH iniciadas debido a un fraude, lo que incluye filtrar los archivos salientes antes de que ingresen a la red.

• Monitoreo de créditos en la recepción. Cada RDFI debe monitorear los créditos ACH entrantes para detectar indicios de fraude, incluida la actividad de cuentas muleras.

• Documentación. Los procesos de monitoreo deben estar tan bien documentados que superen una auditoría, y deben revisarse al menos una vez al año.

• Validación de cuentas y estándares de registro. Los originadores deben validar las cuentas para los débitos WEB y utilizar descripciones estandarizadas de registro de la empresa, como