Última actualización: octubre de 2026

La mayoría de los análisis sobre los cambios en las reglas de NACHA para 2026 los tratan simplemente como una fecha límite que cumplir. Sin embargo, al leer el texto de la norma se pide algo más: una capacidad operativa de detección de fraude, descrita con esas palabras, extendida a muchos más participantes que antes. Los equipos que planifiquen solo para la fecha llegarán a tiempo. Si cumplirán con el requisito es otra cuestión muy distinta.

En resumen

• Las Reglas Operativas de NACHA son el reglamento privado que rige la Red ACH. Nacha es un organismo normativo, no un regulador gubernamental, y las Reglas vinculan a los participantes mediante acuerdos.

• El paquete de Gestión de Riesgos de 2026 implementó el monitoreo de fraude en dos fases: el 20 de marzo de 2026 y el 19 de junio de 2026. Nacha fija el lunes 22 de junio de 2026 como la fecha práctica para la Fase 2, ya que el 19 de junio es feriado federal.

• La obligación consiste en «establecer e implementar procesos y procedimientos basados en riesgo razonablemente destinados a identificar Entradas ACH iniciadas debido a fraude». Se trata de una capacidad operativa, no de un trámite burocrático.

• Los umbrales de volumen varían: 6 millones para originación y 10 millones para recepción, ambos calculados sobre el volumen de 2023. Solo sirvieron para escalonar los plazos; la Fase 2 cerró la brecha.

• «Falso Pretexto» (False Pretenses) ha sido un término definido desde el 1 de octubre de 2024, no una novedad de 2026. Abarca el fraude por compromiso de correo electrónico corporativo (BEC) y la suplantación de identidad. No cubre estafas relacionadas con productos falsos o de mala calidad.

• Se sumarán más cambios a lo largo de 2027 y 2028, incluido un aumento del límite de Same Day ACH y un nuevo código de devolución relacionado con sanciones.

Qué son las Reglas Operativas de NACHA

Las Reglas Operativas de NACHA son el reglamento que rige la Red ACH. Definen los roles y responsabilidades de las instituciones financieras y otros participantes que envían y reciben pagos ACH, y establecen las condiciones bajo las cuales se mueven esos pagos.

Conviene tener presente la escala, ya que es lo que hace que un cambio de regla sea trascendental y no un mero trámite administrativo. Según los propios cálculos de Nacha, en 2025 hubo 35.200 millones de pagos en la Red ACH, con un valor de 93 billones de dólares.

Hay dos puntos clave sobre esto que conviene aclarar.

Primero, Nacha no es una agencia gubernamental. Es el organismo normativo de la Red ACH, y las Reglas obligan a los participantes a través de sus contratos de adhesión a la red, no por ley estatal. Esto no significa que sean opcionales: las sanciones existen y se aplican, como veremos más adelante.

Segundo, las Reglas se organizan por fecha de entrada en vigor. Nacha las publica de ese modo, lo que refleja bien cómo las asimila el sector: la pregunta inmediata casi nunca es «cuáles son las Reglas», sino «qué cambia y cuándo nos afecta».

El texto oficial es el reglamento publicado por Nacha. Esta página es un análisis del mismo, no un sustituto.

A quiénes se aplican las Reglas

Cada umbral y obligación que se detalla a continuación utiliza estos términos, por lo que conviene tenerlos claros antes de ver las fechas.

• ODFI: Institución Financiera Depositaria Originadora. La entidad que origina las transacciones en la red.

• RDFI: Institución Financiera Depositaria Receptora. La entidad que las recibe.

• Originador: la empresa o persona que inicia el pago.

• Proveedor de Servicios Externo (TPSP) y Emisor Externo (TPS): intermediarios que realizan funciones de ACH en nombre de terceros.

La postura de Nacha sobre el alcance es más amplia de lo que sugieren las etiquetas. Cualquier entidad que realice una función de RDFI al entregar transacciones a un Receptor debe implementar controles de monitoreo y detección según las funciones que desempeñe. Si realizas la función, asumes la obligación.

Qué cambió en 2026: el paquete de Gestión de Riesgos

Los cambios de 2026 derivan de un conjunto de enmiendas orientadas a reducir los fraudes exitosos y mejorar la recuperación de fondos una vez cometido el fraude.

El monitoreo de fraude se implementó en dos fases. La Fase 1 entró en vigor el 20 de marzo de 2026. La Fase 2 comenzó el 19 de junio de 2026 (aunque la propia Nacha señaló que, al ser festivo federal el 19 de junio, la fecha de aplicación práctica pasó al siguiente día bancario, el lunes 22 de junio de 2026). Las Descripciones Estandarizadas de Entradas de Empresa también entraron en vigor el 20 de marzo de 2026.

El cambio de alcance es el aspecto que merece mayor atención. Antes de este paquete, las Reglas exigían a los Originadores usar un sistema comercialmente razonable de detección de transacciones fraudulentas únicamente para débitos WEB y Micro-Entradas. Esos requisitos no abarcaban otros débitos y no se aplicaban a créditos distintos de las Micro-Entradas.

Por lo tanto, en una gran parte del tráfico ACH —incluidos los pagos de tipo «credit push», donde suele ocurrir el fraude por suplantación de identidad— no existía ningún requisito de monitoreo. Eso es lo que ha cambiado.

Qué entra en vigor y cuándo

Las fechas de entrada en vigor pueden variar. Consulte el estado actual en las reglas oficiales de Nacha antes de planificar en base a esta tabla.

La obligación de monitoreo de fraude, en detalle

La regla exige a cada parte obligada «establecer e implementar procesos y procedimientos basados en riesgo razonablemente destinados a identificar Entradas ACH iniciadas debido a fraude».

Esto debe entenderse como un requisito de capacidad operativa. No hay que presentar ningún formulario ni obtener una certificación. Lo exigido es que los procesos existan, que se basen en el riesgo y que estén razonablemente diseñados para cumplir ese cometido.

Por el lado de la originación, la Fase 1 cubrió a todas las ODFI, además de a cada Originador corporativo, Proveedor de Servicios Externo y Emisor Externo con un volumen de originación ACH anual en 2023 igual o superior a 6 millones. La Fase 2 lo amplió al resto de Originadores corporativos, TPSP y TPS.

Por el lado de la recepción, la Fase 1 cubrió a las RDFI con un volumen de recepción ACH anual en 2023 igual o superior a 10 millones. La Fase 2 lo amplió a todas las demás RDFI.

Hay dos detalles que a menudo se reportan de forma errónea y conviene destacar. Los umbrales numéricos son distintos según el lado de la transacción: 6 millones para originación y 10 millones para recepción. Y ambos se calculan sobre el volumen de 2023, no sobre el actual.

Si su institución estaba por debajo del umbral, solo ganó tres meses de margen. No quedó exenta. La Fase 2 cerró esa brecha.

Falso Pretexto: qué abarca este concepto y qué no

El término «Falso Pretexto» (False Pretenses) no es una novedad de 2026. Nacha lo definió en las reglas que entraron en vigor el 1 de octubre de 2024, junto con el código de devolución R17, que una RDFI puede utilizar para devolver una transacción si considera que se originó bajo Falso Pretexto. Las reglas de monitoreo de 2026 se basan en esto: abarcan tanto transacciones autorizadas bajo Falso Pretexto como transacciones no autorizadas. Falso Pretexto significa:

«inducir a un pago por parte de una Persona que falsea (a) la identidad de dicha Persona, (b) la relación de dicha Persona con otra o su autoridad para actuar en su nombre, o (c) la titularidad de una cuenta a ser acreditada».

En la práctica, esto incluye el compromiso de cuentas de correo electrónico corporativo (BEC), la suplantación de proveedores, de nóminas y de otros beneficiarios. Complementa la normativa existente sobre créditos no autorizados, que aborda la apropiación de cuentas.

Lo que no cubre es igual de relevante. No se extiende a estafas con productos o servicios falsos, inexistentes o de mala calidad. Si a un cliente no le entregaron nada de lo comprado, se trata de una disputa comercial; si pagó a quien no correspondía porque alguien fingió ser quien no era, entra dentro de esta definición.

Confundir este límite en cualquier sentido llevará a implementar controles erróneos y a generar falsas expectativas sobre lo que las Reglas cubren.

Cómo es en la práctica un control que cumple la norma

Nacha describe qué espera para el monitoreo de créditos por parte de una RDFI, y su propio ejemplo es más ilustrativo que cualquier caso hipotético. Un enfoque basado en riesgo puede considerar la frecuencia o velocidad transaccional, anomalías como la falta de coincidencia entre el Código SEC y el tipo de cuenta, y características de la cuenta como su antigüedad y el saldo promedio.

Nacha también señala que este enfoque se alinea con las prácticas de monitoreo de prevención de blanqueo de capitales (AML) que las entidades ya aplican, y aclara dos aspectos operativos clave: no se exige un monitoreo previo a la contabilización en las entradas de crédito, y las soluciones pueden desarrollarse internamente o adquirirse de terceros.

Vale la pena recordar el razonamiento que aporta Nacha para este requisito, pues aclara qué significa «razonablemente destinados»: un monitoreo regular para la detección de fraude establece patrones base de actividad habitual, que es precisamente lo que permite detectar comportamientos atípicos.

Surge aquí una objeción válida que se da mucho en la práctica. El responsable de operaciones de un procesador de pagos resumió su postura así: realizan el monitoreo de transacciones internamente y de forma manual, y a su entender eso cumple la norma.

Es una postura defendible. La regla se basa en el riesgo y no impone la automatización. Las preguntas clave son si seguirá siendo viable a medida que aumente el volumen, si un proceso manual bajo presión de tiempo mantiene realmente la coherencia y si los motivos de una decisión se pueden reconstruir seis meses después. Si la respuesta a las tres es afirmativa, el proceso cumple su cometido. Si no, la fecha límite nunca fue el problema real.

La duda práctica: ¿dispone de los datos necesarios para monitorear?

Revise de nuevo los indicadores del ejemplo de Nacha: velocidad, Código SEC frente a tipo de cuenta, antigüedad de la cuenta y saldo medio. Luego evalúe qué información transfiere realmente su sistema bancario central (core) a las herramientas encargadas del monitoreo.

Aquí es donde las implementaciones se frenan. Un responsable de operaciones de una cooperativa de crédito explicaba que prefería cargar directamente los archivos ACH y transferencias en bruto en lugar de depender de la información disponible a través del core, ya que este no incluía el nivel de detalle necesario y reconstruirlo a mano les costaba demasiado tiempo y dinero.

A nuestro juicio, este es un problema de la capa de datos antes que un problema de detección. Conectar otro enlace a un core que no incluye el campo necesario no equivale a disponer de la señal, y la carencia solo sale a la luz cuando alguien pregunta por qué no se marcó una transacción. Esta misma dificultad de fondo condiciona cómo funciona en la práctica la detección de fraude en ACH, y por eso tratamos el fraude transaccional ante todo como un desafío de datos.

Otro punto esencial: los equipos de riesgo deben ser capaces de modificar las políticas de monitoreo sin depender de los ciclos de desarrollo del equipo de ingeniería. Una regla que no se puede ajustar es una regla que poco a poco deja de responder al fraude real que se está experimentando.

A modo de contexto sobre nuestra posición: en diciembre de 2025, Nacha nombró a Oscilar Socio Preferente para Validación de Cuentas, Monitoreo de Fraude y Prevención de Riesgos y Fraude. El programa está abierto a cualquier proveedor cuyas soluciones se alineen con la estrategia de Nacha, por lo que debe entenderse como un reconocimiento de especialización y no como el respaldo exclusivo a un producto en particular.

Cómo se aplican y sancionan las Reglas

Nacha supervisa el cumplimiento de las Reglas a través de un sistema nacional de multas, un proceso de arbitraje para reclamaciones entre participantes y un canal para reportar infracciones.

Evitamos deliberadamente detallar aquí los importes o niveles de las multas. El baremo cambia, y un dato desactualizado en un artículo es peor que no incluirlo: consulte las páginas de cumplimiento de reglas de la propia Nacha para ver las condiciones vigentes. Si busca entender cómo aterrizar el cumplimiento en el día a día operativo más allá del texto legal, nuestra guía sobre el cumplimiento de NACHA aborda este tema a fondo.

Preguntas frecuentes

¿Qué son las Reglas Operativas de NACHA? Son el reglamento que rige la Red ACH: definen los roles y responsabilidades de las instituciones financieras y otros participantes, y fijan las condiciones bajo las cuales circulan los pagos ACH. Nacha es el organismo que redacta las normas, no un regulador estatal, y las Reglas obligan a los participantes por acuerdo contractual. El texto oficial es el reglamento publicado por Nacha.

¿Cuáles son las nuevas reglas de NACHA para 2026? El cambio principal es el paquete de Gestión de Riesgos, que amplió las obligaciones de monitoreo de fraude en dos fases (el 20 de marzo de 2026 y el 19 de junio de 2026, con fecha práctica el 22 de junio de 2026 para la segunda) e introdujo las Descripciones Estandarizadas de Entrada de Empresa a partir del 20 de marzo de 2026. Más adelante en 2026, el Bureau of the Fiscal Service del Tesoro de EE. UU. se incorporará al Registro de Contactos de ACH el 24 de julio, y la disponibilidad de fondos para créditos no Same Day pasará a las 9:00 a. m. de la Fecha de Liquidación a partir del 18 de septiembre.

¿Qué implica cumplir las reglas de NACHA y quién las hace cumplir? Cumplir las reglas significa satisfacer las obligaciones que las Reglas Operativas imponen a su institución según las funciones que desempeñe. Nacha vela por su cumplimiento mediante un sistema nacional de sanciones económicas, un proceso de arbitraje para disputas entre participantes y una vía de reporte de infracciones.

¿Nos afectan las Reglas de NACHA si estamos por debajo de los umbrales de volumen? Sí. Los umbrales de 6 millones para originación y 10 millones para recepción solo escalonaron los plazos de aplicación de la regla de monitoreo de fraude, no su alcance final. La Fase 1 abarcó a todas las ODFI y a las entidades que superaban esos volúmenes a partir del 20 de marzo de 2026, y la Fase 2 extendió la misma obligación al resto a partir del 19 de junio de 2026.

¿Qué se considera Falso Pretexto según las Reglas? Inducir un pago falseando la propia identidad, la vinculación o autorización para actuar en nombre de otra persona, o la titularidad de una cuenta que recibirá los fondos. Esto incluye el fraude de correo corporativo (BEC), la suplantación de proveedores y de nóminas. No abarca estafas relacionadas con bienes o servicios falsos, inexistentes o defectuosos.

¿Dónde se puede consultar la fuente oficial de las Reglas de NACHA? Nacha publica las Reglas Operativas, y en sus páginas sobre nuevas normas lista las modificaciones aprobadas con sus fechas de entrada en vigor. Cualquier dato sujeto a plazos debe verificarse en dicha fuente oficial y no en resúmenes secundarios, incluida esta página.