Última atualização: outubro de 2026

As regras de fraude da NACHA de 2026 estão em vigor. A Fase 1 entrou em vigor em 20 de março de 2026 e a Fase 2 em 19 de junho de 2026, de modo que cada ODFI, Originador não consumidor, Provedor de Serviços Terceirizado, Remetente Terceirizado e RDFI na Rede ACH agora tem uma obrigação de monitoramento de fraudes. As regras dizem o que cada participante deve ser capaz de fazer e deixam o método a critério do participante. Este guia transforma isso em um programa prático, função por função: o controle, o registro de execução, o responsável e a revisão anual.

Resumo

• Ambas as fases estão em vigor. A Fase 1 (20 de março de 2026) cobriu todos os ODFIs, além de Originadores não consumidores, Provedores de Serviços Terceirizados e Remetentes Terceirizados que originaram 6 milhões ou mais de lançamentos ACH em 2023, bem como RDFIs que receberam 10 milhões ou mais em 2023. A Fase 2 (19 de junho de 2026, na prática 22 de junho) removeu os limites de volume.

• A obrigação é baseada em risco e depende da sua função: processos razoavelmente projetados para identificar lançamentos não autorizados ou autorizados sob Falsos Pretextos, revisados pelo menos uma vez ao ano.

• Falsos Pretextos não é algo novo em 2026. A definição e as alterações no código de retorno R17 entraram em vigor em 1º de outubro de 2024.

• A prontidão se resume a quatro pontos para cada função: um controle, um registro de sua execução, um responsável nomeado e uma revisão anual com data.

• Uma lacuna comum é a definição de responsabilidade. As equipes de fraude, operações, gestão de tesouraria e BSA cuidam, cada uma, de uma parte, e frequentemente ninguém responde pelo todo.

O que as regras de fraude da NACHA de 2026 exigem?

As regras de fraude da NACHA de 2026 exigem que cada ODFI, Originador não consumidor, Provedor de Serviços Terceirizado e Remetente Terceirizado execute processos e procedimentos baseados em risco, adequados à sua função, que tenham o objetivo razoável de identificar lançamentos ACH não autorizados ou autorizados sob Falsos Pretextos. Os RDFIs têm a mesma obrigação para os créditos que recebem. Todas as partes devem revisar esses processos pelo menos anualmente e atualizá-los conforme os riscos mudam.

Para o lado da originação, o texto da Nacha diz que cada parte deve "estabelecer e implementar processos e procedimentos baseados em risco, relevantes para a função que desempenha... com o objetivo razoável de identificar Lançamentos sob suspeita de não autorização ou autorizados sob Falsos Pretextos". Os termos "relevantes para a função que desempenha" são a razão pela qual este guia está organizado por função. Um ODFI, um Originador e um RDFI enxergam partes diferentes do mesmo pagamento, logo, cada um precisa de seus próprios controles.

As regras definem o resultado esperado e deixam o método em aberto. Isso dá a cada instituição espaço para ajustar o monitoramento ao seu próprio risco, e também significa que cada instituição precisa justificar sua abordagem. Para ver a lista completa do que mudou no pacote de 2026 e quando, consulte o que mudou nas regras da Nacha de 2026. Este guia aborda como executar os controles.

Quem está coberto e quando cada obrigação teve início

A Fase 1 da regra de monitoramento de fraudes entrou em vigor em 20 de março de 2026. Aplicou-se a todos os ODFIs, independentemente do volume, a Originadores não consumidores, Provedores de Serviços Terceirizados (TPSPs) e Remetentes Terceirizados (TPSs) com volume anual de originação ACH igual ou superior a 6 milhões em 2023 e, para monitoramento de crédito, a RDFIs com volume anual de recebimento ACH de 10 milhões ou mais em 2023. A Fase 2 entrou em vigor em 19 de junho de 2026 e removeu os limites de volume para todos os demais.

O limite de 6 milhões nunca se aplicou aos ODFIs. Todos os ODFIs estão cobertos desde 20 de março de 2026.

Como 19 de junho de 2026 foi um feriado federal, a Nacha definiu a segunda-feira, 22 de junho de 2026, como a data de vigência prática para a Fase 2. Ambas as fases já estão em vigor, portanto, a questão em aberto para a maioria das instituições é se o programa funciona, e não quando ele deve começar.

O escopo ainda gera dúvidas em alguns participantes. Um diretor de tesouraria e conformidade de uma empresa de pagamentos que não permite o envio de créditos por seus clientes disse: "Não sei exatamente como isso se aplica a nós, entende?" A primeira exigência da regra envolve lançamentos com suspeita de não autorização, e o texto da Nacha para partes originadoras refere-se a Lançamentos em geral, não apenas a créditos. Uma parte que origina apenas débitos ainda desempenha um papel na autorização ou transmissão de lançamentos.

Os remetentes terceirizados também respondem ao banco que os patrocina. Um líder de conformidade de uma fintech relatou a necessidade de apresentar um plano plausível ao seu banco patrocinador e foi direto sobre o que isso significava: "é melhor ter um contrato assinado e não apenas uma ideia distante". O banco patrocinador pode encerrar a parceria, portanto a prontidão do remetente terceirizado também é um problema do ODFI.

Duas mudanças relacionadas acompanham a regra de monitoramento de fraudes. A definição de Falsos Pretextos e as mudanças correspondentes no código de motivo de devolução R17 entraram em vigor em 1º de outubro de 2024. Desde 20 de março de 2026, os Originadores devem usar a Descrição de Lançamento da Empresa "PAYROLL" para créditos PPD destinados a salários e "PURCHASE" para débitos de compras no comércio eletrônico feitas por consumidores.

Prontidão por função: controles, evidências e responsável

A prontidão sob as regras de fraude da NACHA de 2026 exige quatro elementos para cada função desempenhada por uma instituição: o que monitorar, o controle que realiza esse monitoramento, o registro comprovando a execução do controle e a pessoa responsável. Muitas instituições exercem mais de um papel. Um banco que origina para pessoas jurídicas e recebe créditos para pessoas físicas é tanto um ODFI quanto um RDFI, necessitando cobrir ambas as linhas.

Cada linha deve corresponder a um procedimento documentado. Se uma linha não possui um responsável nomeado ou não gera registros, essa é a primeira lacuna a ser resolvida.

Lado da originação: monitore o que mudou, não apenas o valor

Limites de valor detectam quantias fora do padrão, mas fraudes por Falsos Pretextos costumam manter o valor dentro da normalidade. Um chefe de produtos de tesouraria de um banco descreveu um originador que caiu em um golpe de comprometimento de e-mail corporativo e alterou o destino dos pagamentos de serviços de limpeza: "ele mudou o destino do pagamento, mas não o valor, e isso não acionou a regra". O fornecedor já era antigo, então nada parecia incomum, exceto a conta para onde o dinheiro foi.

É por isso que o controle na originação deve tratar qualquer alteração nos dados bancários de um favorecido como um evento a ser confirmado, independentemente do valor. O mesmo executivo destacou um segundo risco na originação: analisar um Originador não protege contra um funcionário mal-intencionado dentro da empresa desse cliente. O monitoramento do ODFI precisa abranger os lançamentos, não apenas os clientes que os enviam.

Lado do recebimento: monitore os créditos que chegam

Os RDFIs estão cobertos em relação aos créditos recebidos. Um diretor de operações de depósitos e agências de um banco incluiu o monitoramento de ACH recebido em sua lista de requisitos para fornecedores, pois a instituição precisava ser capaz de monitorar lançamentos de entrada contra fraudes. Um gerente de prevenção a perdas de um banco descreveu as checagens iniciais: certificar-se de que o nome no crédito recebido corresponde à conta e acompanhar valores expressivos.

A regra da Nacha também é baseada em risco para os RDFIs. Ela não exige que o RDFI monitore os créditos antes de creditá-los em conta. O que se exige é um processo razoavelmente projetado para identificar créditos suspeitos, além de uma forma de tratar os casos detectados.

Remetentes terceirizados: dois conjuntos de expectativas

Um TPS ou TPSP tem obrigações próprias de acordo com sua função. Além disso, precisa prestar contas ao seu ODFI, que responde pelos lançamentos enviados à Rede ACH. Na prática, isso significa que o TPS deve manter suas revisões de clientes e registros de alertas prontos para apresentação ao banco patrocinador, se solicitado.

Um programa, múltiplos ritmos

Diferentes meios de pagamento operam em cronogramas distintos. Um gerente de prevenção a fraudes de uma cooperativa de crédito explicou que ACH e cheques eram analisados em lotes várias vezes ao dia, transferências wire e online banking eram monitorados em tempo real, e débitos eram revisados em lote no fim do dia. O controle de ACH faz parte desse contexto geral, e um cálculo de risco que avalie cada meio isoladamente pode deixar passar um cliente movimentando fundos entre dois deles ao mesmo tempo. Para ver como avaliar isso, leia nosso guia sobre avaliação de pontuação de fraude entre cartão, ACH e transferências wire.

O que o monitoramento de Falsos Pretextos busca identificar

Falsos Pretextos é o padrão de fraude mencionado pela regra ao lado de lançamentos não autorizados. A Nacha define isso como "a indução a um pagamento por uma Pessoa que deturpa (a) a identidade dessa Pessoa, (b) a associação dessa Pessoa ou autoridade para agir em nome de outra Pessoa, ou (c) a titularidade de uma conta a ser creditada". Essa definição entrou em vigor em 1º de outubro de 2024, juntamente com alterações no código de motivo de devolução R17.

Na prática, Falsos Pretextos engloba fraudes como comprometimento de e-mail corporativo, personificação de fornecedores, falsidade ideológica em folha de pagamento e declarações falsas sobre a titularidade da conta creditada. O comprometimento de e-mail corporativo, isoladamente, representou US$ 3,05 bilhões em prejuízos reportados ao Centro de Queixas de Crimes na Internet do FBI em 2025. Como em todos esses casos é um cliente legítimo quem autoriza o pagamento, os controles voltados para credenciais roubadas geralmente não detectam o problema.

Os sinais variam dependendo da ponta do pagamento:

• Lado da originação: solicitação de alteração nos dados bancários de um favorecido conhecido, principalmente se recebida por e-mail; alteração na folha de pagamento solicitada pouco antes da execução dos pagamentos; pagamento a uma conta de destino para a qual o Originador nunca transferiu antes.

• Lado do recebimento: crédito recebido cujo nome diverge do titular da conta; conta recém-aberta recebendo valores altos; créditos vindos de múltiplos originadores sem relação entre si sendo creditados em uma mesma conta.

A definição possui limites. Golpes nos quais ninguém mente sobre sua identidade, autoridade ou titularidade da conta de destino — como golpes de mercadorias falsas, investimentos fraudulentos ou golpes de relacionamento amoroso — estão fora desse escopo. A identificação desses tipos de golpe é abordada em nosso guia sobre fraudes em pagamentos instantâneos autorizados.

No lado do recebimento, a conta que recolhe os valores é frequentemente uma conta laranja (mule account). Para entender como essas contas são identificadas, consulte nosso guia sobre detecção de contas laranjas.

Quem é o responsável: fraude, conformidade, operações e tesouraria

A definição do responsável é o ponto onde muitos programas travam. A regra abrange operações de ACH, gestão de tesouraria, prevenção a fraudes e BSA, e cada uma dessas equipes pode presumir que a outra é a responsável.

Um diretor de operações de depósitos e agências de um banco descreveu como funcionava por lá: "Temos um comitê de fraude, mas ninguém especificamente gerencia fraudes. Cada setor faz certas coisas voltadas para fraude." Naquele banco, o ACH ainda não recebia nenhum monitoramento de fraude. Um diretor de BSA em um banco relatou que o trabalho relativo à Nacha era gerido pela equipe de operações, e que a equipe de BSA só o acompanhava por conta dos aspectos regulatórios em comum.

A solução é apontar um único líder responsável e mapear os participantes:

• Líder responsável: pessoa encarregada de assinar os procedimentos e a revisão anual, comumente o chefe de operações de ACH ou pagamentos, ou o líder de prevenção a fraudes.

• Participantes: prevenção a fraudes (lógica de detecção e tratativa de alertas), operações (fluxo de lançamentos, devoluções e retenções), gestão de tesouraria (integração de Originadores e comunicação com clientes) e BSA (alinhamento com monitoramento de atividades suspeitas).

• Avaliador: gestão de riscos ou auditoria interna, que verificam se o programa opera conforme o documentado.

O passo seguinte é definir se isso funcionará como um programa próprio ou se será integrado ao planejamento mais amplo de riscos e fraudes. Um líder de produtos de gestão de tesouraria de um banco levantou a questão: "podemos encaixar isso no plano geral do banco como uma parte menor, ou precisamos focar em uma solução dedicada?" Ambas as alternativas funcionam, desde que os controles de ACH continuem com um responsável nomeado e registros próprios.

A equipe disponível também influencia essa decisão. O diretor de depósitos e agências citado acima comentou que o banco não pretendia contratar mais pessoas para ACH e queria evitar revisões manuais. Um controle que exige alguém analisando cada alerta manualmente torna-se insustentável conforme o volume cresce.

As evidências solicitadas por fiscais e auditores

Uma regra focada no risco dá à instituição autonomia para definir seus controles, mas traz o dever de justificá-los. Um chefe de prevenção a fraudes e resiliência de um banco elogiou a abordagem aberta: "Isso é ótimo, até você ter que prestar contas aos nossos auditores internos e gestores de risco." As evidências listadas abaixo ajudam a garantir que essas conversas ocorram sem problemas.

1. Uma avaliação de risco identificando cada função exercida pela instituição na Rede ACH, os riscos de fraude pertinentes e o motivo pelo qual os controles adotados são adequados.

2. Procedimentos documentados para cada função: o que é monitorado, como os alertas são gerados, quem os analisa e qual o destino de um lançamento sinalizado.

3. Registros de alertas e tratativas que comprovem a execução do monitoramento e a resolução de cada alerta, indicando a devida justificativa.

4. Registros de providências sobre lançamentos sinalizados: retenções, devoluções, solicitações de cancelamento e contatos com a outra instituição financeira.

5. A revisão anual, com data, detalhando o que foi avaliado, o que mudou e os motivos. A Nacha exige revisões no mínimo anuais, com atualizações para tratar de novos riscos.

6. Registros de capacitação das equipes responsáveis pela operação dos controles.

Muitas equipes estruturaram isso ao longo do caminho. O diretor de operações de depósitos e agências mencionado antes disse que o banco possuía uma avaliação de risco para ACH e iria atualizar políticas e procedimentos, mas ainda não avaliava fraudes entre os originadores. Um gerente de projetos do mesmo banco afirmou que a equipe continuava definindo os requisitos e aprendendo à medida que avançava.

Pontos fracos observados na prática

• Regras restritas apenas a valores. Uma conta de destino alterada com um valor padrão passa sem bloqueios.

• Avaliação de risco limitada a volumes de ACH. Avalia as transações, mas esquece de revisar os Originadores que as realizam.

• Ausência de um único responsável. Um comitê se reúne, mas ninguém formaliza os procedimentos nem a revisão anual.

• Revisão anual sem data. Sem um registro claro do que mudou e por que mudou, fica difícil comprovar a realização da revisão.

• Atenção voltada a apenas um dos lados do pagamento. Uma instituição que atua como ODFI e RDFI monitora o que envia, mas ignora o que recebe, ou o oposto.

Como a Oscilar ajuda

A Oscilar é Parceira Preferencial da Nacha para Validação de Contas, Monitoramento de Fraudes e Prevenção a Riscos e Fraudes. A abordagem da Oscilar baseia-se em uma plataforma unificada: estrutura de dados em tempo real, inteligência de dispositivos e comportamental, regras e gestão de casos em uma única solução, com agentes integrados. Isso reúne o monitoramento e o histórico de cada alerta no mesmo ambiente.

Para um passo a passo desse trabalho, desde o planejamento até a operação dos controles, veja o manual operacional de risco para ACH de 2026.

Perguntas frequentes

As regras de monitoramento de fraudes da NACHA exigem que os RDFIs monitorem créditos antes de sua liquidação em conta?

Não. A regra estabelece que os RDFIs tenham processos baseados em risco razoavelmente planejados para identificar créditos recebidos não autorizados ou autorizados sob Falsos Pretextos, além de tratar os casos encontrados. O monitoramento não precisa ocorrer necessariamente antes da liquidação do crédito.

Com que frequência o programa de monitoramento de fraudes da NACHA deve ser revisado?

Pelo menos uma vez ao ano. Todas as partes envolvidas devem revisar seus processos e procedimentos de monitoramento de fraudes anualmente e atualizá-los conforme os riscos evoluem. Mantenha um registro datado de cada revisão, detalhando o conteúdo avaliado e as alterações feitas.

A regra também se aplica a lançamentos de débito?

Para ODFIs, Originadores e remetentes terceirizados, o texto da Nacha trata de Lançamentos suspeitos de não autorização ou autorizados sob Falsos Pretextos, não se restringindo a créditos. Débitos não autorizados enquadram-se na primeira dessas categorias. A regra para RDFIs é a que se volta especificamente aos créditos recebidos por eles.

A categoria de Falsos Pretextos é uma novidade de 2026?

Não. A definição de Falsos Pretextos da Nacha e as respectivas mudanças no código de devolução R17 passaram a valer em 1º de outubro de 2024. A novidade de 2026 foi a exigência de monitorar lançamentos autorizados sob Falsos Pretextos, dividida em duas fases: 20 de março e 19 de junho de 2026.