Regras da NACHA explicadas: O que mudou em 2026

Última atualização: outubro de 2026

A maior parte da cobertura sobre as mudanças nas regras da NACHA para 2026 trata o assunto apenas como um prazo a cumprir. No entanto, o texto da regra exige algo diferente: uma capacidade ativa de deteção de fraude, descrita exatamente nestes termos e alargada a um conjunto muito maior de entidades. As equipas que planeiam apenas em função do prazo vão cumpri-lo. Saber se cumprem o requisito já é outra questão.

Resumo

• As Regras Operacionais da NACHA são o regulamento privado que rege a rede ACH. A Nacha é um organismo de normalização, não um regulador governamental, e as Regras vinculam os participantes através de acordos.

• O pacote de Gestão de Risco de 2026 implementou a monitorização de fraudes em duas fases: 20 de março de 2026 e 19 de junho de 2026. A Nacha indica segunda-feira, 22 de junho de 2026, como a data prática para a Fase 2, uma vez que 19 de junho é feriado federal.

• A obrigação consiste em "estabelecer e implementar processos e procedimentos baseados no risco, razoavelmente concebidos para identificar lançamentos ACH iniciados devido a fraude". Trata-se de uma capacidade operacional, não do envio de um formulário.

• Os limites de volume diferem: 6 milhões para originação e 10 milhões para receção, ambos avaliados com base no volume de 2023. Apenas escalonaram o calendário — a Fase 2 cobriu as restantes entidades.

• «Falsas Alegações» (False Pretenses) é um termo definido desde 1 de outubro de 2024, e não uma adição de 2026. Abrange o comprometimento de e-mail corporativo e a usurpação de identidade. Não cobre burlas relacionadas com bens falsificados ou de fraca qualidade.

• Estão previstas mais mudanças ao longo de 2027 e 2028, incluindo um aumento do limite do Same Day ACH e um novo código de devolução relacionado com sanções.

O que são as Regras Operacionais da NACHA

As Regras Operacionais da NACHA constituem o regulamento que rege a rede ACH. Definem as funções e responsabilidades das instituições financeiras e de outros participantes que enviam e recebem pagamentos ACH, estabelecendo também as condições sob as quais esses pagamentos são processados.

Importa ter em conta a sua dimensão, pois é isso que torna qualquer alteração às regras relevante em vez de meramente administrativa. Segundo os dados da própria Nacha, foram efetuados 35,2 mil milhões de pagamentos na rede ACH em 2025, no valor de 93 biliões de dólares.

Há dois aspetos fundamentais que convém clarificar.

Primeiro, a Nacha não é uma agência governamental. É o organismo responsável pela criação de regras para a rede ACH, e as Regras vinculam os participantes através de acordos de adesão, e não por força da lei. Isso não significa que sejam opcionais — a fiscalização existe, e abordamo-la mais abaixo.

Segundo, as Regras estão organizadas por data de entrada em vigor. A Nacha publica-as dessa forma, o que reflete bem como o setor as aborda: a questão prática quase nunca é "o que dizem as Regras", mas sim "o que vai mudar e quando nos afeta".

O texto oficial é o regulamento publicado, disponível através da Nacha. Esta página constitui uma análise desse documento, não um substituto.

A quem se aplicam as Regras

Todos os limites e obrigações descritos abaixo assentam nestes termos, pelo que importa clarificá-los antes de abordar as datas.

• ODFI — Instituição Financeira Depositária de Origem. A instituição que inicia os lançamentos na rede.

• RDFI — Instituição Financeira Depositária Recetora. A instituição que os recebe.

• Originador — a empresa ou pessoa que inicia o pagamento.

• Prestador de Serviços Terceiro (TPSP) e Remetente Terceiro (TPS) — intermediários que executam funções ACH em nome de terceiros.

A posição da Nacha quanto ao âmbito é mais abrangente do que as designações sugerem. Qualquer entidade que desempenhe uma função de RDFI ao disponibilizar transações a um Destinatário deve implementar controlos de monitorização e deteção ajustados às funções que desempenha. Quem executa a função assume a obrigação.

O que mudou em 2026: o pacote de Gestão de Risco

As alterações de 2026 decorrem de um conjunto de emendas que visa reduzir tentativas de fraude bem-sucedidas e melhorar a recuperação de fundos após a ocorrência de fraudes.

A monitorização de fraudes foi introduzida em duas fases. A Fase 1 entrou em vigor a 20 de março de 2026. A Fase 2 entrou em vigor a 19 de junho de 2026 — com a própria Nacha a notar que, sendo 19 de junho um feriado federal, a data prática de entrada em vigor passou para o dia útil seguinte, segunda-feira, 22 de junho de 2026. As Descrições Padronizadas de Lançamentos de Empresas também entraram em vigor a 20 de março de 2026.

A alteração do âmbito é o ponto que merece mais atenção. Antes deste pacote, as Regras exigiam que os Originadores utilizassem um sistema comercialmente razoável de deteção de transações fraudulentas apenas para débitos WEB e Microlançamentos. Estas exigências não abrangiam outros débitos nem quaisquer créditos além dos Microlançamentos.

Assim, para uma grande fatia do tráfego ACH — incluindo os pagamentos a crédito (credit-push), onde a fraude por usurpação de identidade mais ocorre —, não existia qualquer obrigação de monitorização. Foi isso que mudou.

O que entra em vigor e quando

As datas de entrada em vigor podem sofrer alterações. Consulte o estado atual nas regras publicadas pela Nacha antes de planear qualquer ação com base nesta tabela.

A obrigação de monitorização de fraudes em detalhe

A regra exige que cada entidade abrangida venha a "estabelecer e implementar processos e procedimentos baseados no risco, razoavelmente concebidos para identificar lançamentos ACH iniciados devido a fraude".

Isto deve ser entendido como um requisito de capacidade operacional. Não há formulários para submeter nem certificações a obter. O que se exige é que os processos existam, sejam baseados no risco e estejam razoavelmente orientados para esse objetivo.

Do lado da originação, a Fase 1 abrangeu todas as ODFIs, além de cada Originador não consumidor, Prestador de Serviços Terceiro e Remetente Terceiro com um volume anual de originação ACH igual ou superior a 6 milhões em 2023. A Fase 2 alargou a exigência a todos os restantes Originadores não consumidores, TPSPs e TPSs.

Do lado da receção, a Fase 1 abrangeu RDFIs com um volume anual de receção ACH igual ou superior a 10 milhões em 2023. A Fase 2 alargou-a a todas as restantes RDFIs.

Dois pormenores são frequentemente reportados de forma incorreta e merecem destaque. Os limites têm valores diferentes para cada lado da transação: 6 milhões para originação e 10 milhões para receção. Além disso, ambos são medidos com base no volume de 2023, e não no volume atual.

Se a sua instituição ficou abaixo do limite, isso garantiu-lhe apenas três meses de margem. Não conferiu uma isenção. A Fase 2 acabou por abranger todos.

Falsas Alegações: o que o termo abrange e o que exclui

O conceito de «Falsas Alegações» (False Pretenses) não é novo em 2026. A Nacha definiu-o nas regras que entraram em vigor a 1 de outubro de 2024, juntamente com o código de devolução R17, que uma RDFI pode usar para devolver um lançamento que considere ter sido originado com base em Falsas Alegações. As regras de monitorização de 2026 baseiam-se nisto: cobrem lançamentos autorizados sob Falsas Alegações, bem como lançamentos não autorizados. Falsas Alegações significa:

"a indução de um pagamento por parte de uma Pessoa que deturpe (a) a sua identidade, (b) a sua associação com outra Pessoa ou a autoridade para agir em seu nome, ou (c) a titularidade de uma conta a ser creditada."

Na prática, isto abrange o comprometimento de e-mail corporativo, a usurpação de identidade de fornecedores, de folhas de pagamento e de outros beneficiários. Complementa as disposições existentes sobre créditos não autorizados, que visam a apropriação indevida de contas.

O que fica de fora é igualmente relevante. Não abrange esquemas que envolvam produtos ou serviços falsos, inexistentes ou de má qualidade. Um cliente ao qual não foi entregue nada tem uma disputa comercial; um cliente que pagou à entidade errada porque alguém falsificou a sua identidade enquadra-se na definição.

Interpretar mal esse limite, por excesso ou por defeito, leva à criação de controlos inadequados e a expetativas erradas quanto à proteção das Regras.

Como é, na prática, um controlo em conformidade

A Nacha descreve o que prevê para a monitorização de créditos por parte das RDFIs, e o seu próprio exemplo é mais claro do que qualquer outro cenário hipotético. Uma abordagem baseada no risco pode considerar a velocidade das transações, anomalias como a incompatibilidade do Código SEC com o tipo de conta, e caraterísticas da conta como a antiguidade e o saldo médio.

A Nacha refere ainda que esta abordagem está alinhada com as práticas de monitorização de AML que as instituições já utilizam, acrescentando dois esclarecimentos importantes para a definição do âmbito: não é exigida a monitorização de créditos antes do lançamento na conta (pre-posting), e as soluções podem ser desenvolvidas internamente ou adquiridas a terceiros.

Vale a pena reforçar a justificação apresentada pela Nacha, pois clarifica o significado de "razoavelmente concebidos": a monitorização regular de deteção de fraude estabelece padrões de atividade normal, o que permite, desde logo, identificar desvios anómalos.

Surge aqui uma objeção legítima, bastante comum na prática. Um responsável de operações de um processador de pagamentos resumiu a sua posição: fazem a monitorização de transações internamente, de forma manual, e, segundo a sua interpretação, isso cumpre a regra.

É uma leitura defensável. A regra baseia-se no risco e não impõe a automação. As questões a colocar são se essa abordagem continua viável à medida que o volume cresce, se um processo manual executado sob pressão de tempo mantém a consistência e se os motivos de uma decisão podem ser reconstituídos seis meses depois. Se a resposta a estas três perguntas for positiva, o processo cumpre a sua função. Se não for, o prazo nunca foi o verdadeiro problema.

A questão prática: dispõe dos dados necessários para a monitorização?

Considere novamente os indicadores do exemplo da Nacha: velocidade, Código SEC face ao tipo de conta, antiguidade da conta, saldo médio. Depois, veja o que o seu sistema bancário central realmente disponibiliza aos sistemas encarregues da monitorização.

É aqui que as implementações muitas vezes falham. Um responsável de operações de uma cooperativa de crédito explicou que preferia carregar diretamente os ficheiros em bruto de ACH e transferências em vez de depender da informação disponível no sistema central, porque este não continha o detalhe necessário e a reconstituição manual tornava-se dispendiosa.

Consideramos que este é um problema da camada de dados antes de ser um problema de deteção. Adicionar mais um conector a um sistema central que não contém o campo necessário não equivale a ter a informação. A diferença só transparece quando alguém pergunta por que razão um determinado lançamento não foi sinalizado. O mesmo problema de base molda o funcionamento da deteção de fraude em ACH na prática, razão pela qual abordamos a fraude em transações essencialmente como um problema de dados.

Um ponto adicional: as equipas de risco devem ter autonomia para alterar políticas de monitorização sem depender de ciclos de engenharia. Uma regra que não pode ser ajustada deixa gradualmente de acompanhar os novos padrões de fraude observados.

A título informativo sobre a nossa posição: em dezembro de 2025, a Nacha designou a Oscilar como Parceiro Preferencial para Validação de Contas, Monitorização de Fraude e Prevenção de Risco e Fraude. O programa está aberto a qualquer fornecedor cujas soluções se alinhem com a estratégia da Nacha, devendo ser visto como um sinal de foco e não como uma recomendação de um produto específico.

Como é feita a aplicação das Regras

A Nacha faz cumprir as Regras através de um sistema nacional de coimas, de um processo de arbitragem para litígios entre participantes e de um canal para denúncia de infrações.

Optámos deliberadamente por não indicar aqui valores ou escalões de coimas. As tabelas mudam, e um valor desatualizado num artigo é pior do que não ter valores — consulte as páginas de conformidade da própria Nacha para verificar a situação atual. Se pretende entender como estruturar a conformidade a nível operacional em vez de apenas ler o que as Regras dizem, o nosso guia sobre conformidade NACHA aborda esse tema.

Perguntas frequentes

O que são as Regras Operacionais da NACHA? São o regulamento que rege a rede ACH, definindo as funções e responsabilidades das instituições financeiras e de outros participantes, bem como as condições de circulação dos pagamentos ACH. A Nacha é a entidade reguladora interna, não um organismo estatal, e as Regras vinculam os participantes por via contratual. O texto oficial é o regulamento publicado pela Nacha.

Quais são as novas regras da NACHA para 2026? A principal alteração é o pacote de Gestão de Risco, que alargou as obrigações de monitorização de fraudes em duas fases — 20 de março de 2026 e 19 de junho de 2026 (com a data prática de 22 de junho de 2026 para a segunda) — e introduziu Descrições Padronizadas de Lançamentos de Empresas a partir de 20 de março de 2026. Mais tarde em 2026, o Bureau of the Fiscal Service do Tesouro dos EUA passa a integrar o Registo de Contactos ACH a 24 de julho, e a disponibilização de fundos para créditos não Same Day passa para as 9h00 na Data de Liquidação a partir de 18 de setembro.

O que significa estar em conformidade com as regras da NACHA e quem as fiscaliza? Estar em conformidade significa cumprir as obrigações que as Regras Operacionais atribuem à sua instituição consoante as funções desempenhadas. A Nacha assegura a sua aplicação através de um sistema nacional de coimas, de arbitragem para litígios entre participantes e de canais de denúncia de incumprimentos.

As Regras da NACHA aplicam-se a nós se estivermos abaixo dos limites de volume? Sim. Os limites de 6 milhões para originação e 10 milhões para receção apenas fasearam os prazos da regra de monitorização de fraudes, não o seu âmbito. A Fase 1 abrangeu todas as ODFIs e as restantes entidades acima desses valores a partir de 20 de março de 2026, e a Fase 2 alargou a mesma obrigação a todas as outras entidades a partir de 19 de junho de 2026.

O que é considerado «Falsas Alegações» ao abrigo das Regras? Induzir um pagamento através da falsificação da identidade, da associação a outra pessoa ou de poderes para agir em seu nome, ou da titularidade da conta a ser creditada. Isto abrange o comprometimento de e-mail corporativo, a usurpação de identidade de fornecedores e de folhas de pagamento. Não cobre burlas que envolvam produtos ou serviços falsos, inexistentes ou de má qualidade.

Onde podem as equipas consultar a fonte oficial das Regras da NACHA? A Nacha publica as Regras Operacionais, e as suas páginas de novas regras listam as alterações aprovadas com as respetivas datas de entrada em vigor. Quaisquer informações com prazos críticos devem ser validadas diretamente nessas páginas e não através de fontes secundárias, incluindo este artigo.