Comunicación A 8432 del BCRA: guía para PSPs argentinos

El sector de pagos en Argentina está convergiendo hacia un modelo de compliance que se parece cada vez más al bancario. La Comunicación A 8432, publicada por el BCRA el 6 de mayo de 2026, es la señal más clara de esa dirección hasta ahora. Formaliza un nuevo tipo de sujeto regulado, endurece los requisitos de transparencia accionaria, reestructura el proceso de inscripción de PSP y le otorga al Banco Central nuevas facultades para dar de baja de oficio a operadores inactivos o incumplidores.

El plazo de adecuación de la Comunicación A 8432 del BCRA vence el 3 de agosto de 2026. Noventa días corridos desde la publicación.

Esta guía cubre qué cambió, qué implica en la práctica y qué tienen que completar los equipos de compliance y los operadores fintech antes de esa fecha.

Que cambia la Comunicación A 8432 del BCRA#

La Comunicación modifica el Texto Ordenado de Proveedores de Servicios de Pago en seis ejes:

1. Un nuevo sujeto regulado: el "PSPCP como Servicio"
2. Nuevas causales de exclusión para accionistas, beneficiarios finales y autoridades
3. Requisitos adicionales de inscripción, incluyendo la designación obligatoria de Oficial de Cumplimiento ante la UIF
4. Plazo extendido para iniciar operaciones (de 6 a 12 meses)
5. Facultad del BCRA para dar de baja de oficio a PSPs del registro
6. Obligaciones explícitas de AML/CFT para PSPs sujetos obligados ante la UIF

La señal del BCRA es consistente: el Banco Central quiere saber quiénes están detrás de cada PSP, cómo operan, y si los controles de compliance acompañan el servicio incluso cuando terceros participan en su prestación.

El modelo PSPCP como Servicio#

El cambio estructuralmente más significativo de la Comunicación es la regulación formal del modelo "PSPCP como Servicio".

Antes de la A 8432, un proveedor de cuentas de pago (PSPCP) que ofrecía su infraestructura a terceros para atender usuarios finales existía en un área gris regulatoria. La relación se regía por contratos comerciales, sin reglas explícitas del BCRA sobre la asignación de responsabilidad regulatoria entre el PSPCP y el tercero.

Ese área gris ya no existe.

El BCRA define al PSPCP como Servicio como aquel proveedor de cuentas de pago que ofrece cuentas, y eventualmente billetera digital interoperable, a clientes de un tercero tomador del servicio. Los usuarios finales interactúan a través de la interfaz del tercero, integrada tecnológicamente a la infraestructura del PSPCP.

Esto abarca un amplio rango de arquitecturas fintech presentes en Argentina: billeteras embebidas, integraciones de Banking-as-a-Service (BaaS), cuentas de pago bajo marca blanca y modelos de plataforma donde la experiencia de usuario pertenece a un tercero mientras la cuenta de pago subyacente la provee un PSPCP regulado.

El principio regulatorio central: el BCRA considera que los clientes del tomador del servicio son clientes del PSPCP como Servicio. Canalizar la prestación del servicio a través de una interfaz intermediaria no transfiere la responsabilidad regulatoria. El PSPCP subyacente retiene la totalidad de las obligaciones de compliance sobre el servicio.

Que debe hacer el PSPCP como Servicio#

Los nuevos requisitos de la Comunicación aplican a cualquier PSPCP que opere bajo este modelo:

Antes de habilitar un tomador del servicio: El PSPCP no puede brindar el servicio a un tomador hasta que el BCRA haya notificado la habilitación correspondiente. Esto requiere una declaración jurada (DDJJ) del representante legal del PSPCP comprometiéndose a ese requisito.

Al momento de la inscripción: El PSPCP debe registrar ante el BCRA la nómina de todos los tomadores del servicio, incluyendo razón social, CUIT, domicilio legal, representante legal e información societaria. Se deben identificar individualmente las personas humanas que posean al menos el 10% del capital o de los derechos de voto del tomador, quienes ejerzan el control final, y todos los integrantes del órgano de administración y fiscalización.

Obligaciones continuas: Los contratos con los tomadores del servicio deben estar disponibles para inspección del BCRA en todo momento. Estos contratos deben incluir cláusulas que establezcan las siguientes exigencias sobre el tomador:

• Identificación y conocimiento del cliente alineados con los estándares del BCRA
• Onboarding digital conforme a los requisitos del BCRA
• Controles de AML y CFT
• Prevención del fraude
• Controles de seguridad de la información
• Protocolos de continuidad operativa
• Gestión de riesgos tecnológicos y operativos

Las interfaces del tomador deben mostrar de manera clara y legible la denominación comercial del PSPCP, junto con toda la información exigida por el régimen de Protección de los Usuarios de Servicios Financieros.

Informes de cumplimiento: Los PSPCP como Servicio están sujetos a informes de cumplimiento con profesionales inscriptos en el registro habilitado por la SEFYC.

Los PSPCP que ya operaban bajo este modelo antes de la publicación de la Comunicación el 6 de mayo tenían 10 días hábiles (hasta el 20 de mayo de 2026) para notificar al BCRA la nómina de tomadores del servicio existentes. Ese plazo ya venció.

Transparencia accionaria y elegibilidad de autoridades#

Las restricciones para accionistas y directores de la Comunicación reflejan una tendencia regulatoria clara: el BCRA quiere visibilidad completa sobre quiénes controlan y dirigen cada PSP, no solo al momento de la inscripción sino de manera continua.

Los criterios de exclusión ahora cubren a personas incluidas en:

• Resoluciones de la UIF vinculadas al financiamiento del terrorismo
• El Registro Publico de Personas y Entidades vinculadas a actos de Terrorismo y su Financiamiento (RePET)
• Listas del Consejo de Seguridad de la ONU

Además de esas listas, el BCRA considerará condenas, multas, suspensiones, revocaciones e inhabilitaciones previas impuestas por la UIF, el propio BCRA, la CNV o la SSN sobre cualquier accionista, socio, beneficiario final, director o miembro del órgano de fiscalización.

La implicación práctica: los PSPs están ahora obligados a hacer KYC sobre su propia estructura accionaria con el mismo rigor que aplican al onboarding de clientes. No es un ejercicio de inscripción puntual. Si entra un inversor al registro de accionistas, si se incorpora un director o si cambia la estructura de control, el PSP tiene que verificar la elegibilidad bajo estos criterios.

Nuevos requisitos de inscripción#

La Comunicación incorpora varios ítems obligatorios al proceso de inscripción de PSPs:

Oficial de Cumplimiento ante la UIF: Los PSPs deben designar y registrar ante la UIF tanto al Oficial de Cumplimiento titular como al suplente. Es un requisito formal de inscripción, no solo una designación interna.

Bancos patrocinantes: Los PSPCP deben informar cuáles bancos actuarán como sus patrocinantes. Esta información pasa a integrar el registro formal.

Documentación de gobierno extendida: Accionistas, beneficiarios finales y autoridades deben presentar declaraciones juradas sobre incompatibilidades, sanciones previas, condición de PEP y antecedentes penales. Los certificados de antecedentes penales son obligatorios y en algunos casos deben contar con firma digital conforme la Ley 25.506.

Consentimiento a la jurisdicción federal: Todos los PSPs deben prestar consentimiento a la Justicia Federal de la Ciudad Autónoma de Buenos Aires para todo efecto legal derivado de la relación con el BCRA.

Plazo extendido para iniciar operaciones: El plazo para que un PSP inscripto inicie operaciones se extiende de 6 a 12 meses, reconociendo la complejidad de las integraciones con bancos y proveedores tecnológicos.

Para los PSPs sujetos obligados ante la UIF, la Comunicación los incorpora expresamente al Texto Ordenado del BCRA sobre Prevención del Lavado de Activos, del Financiamiento del Terrorismo y Otras Actividades Ilícitas. Esto no crea nuevas obligaciones sustantivas más allá del marco UIF ya aplicable, pero formaliza la autoridad supervisora del BCRA sobre esas obligaciones.

Baja de oficio del Registro de PSP#

La Comunicación le otorga al BCRA nuevas herramientas para dar de baja a PSPs del registro sin esperar notificación voluntaria ni avanzar con un proceso sancionatorio formal.

Causales de baja de oficio:

Inactividad: Incumplimiento de los regímenes informativos obligatorios durante al menos 180 días corridos consecutivos, incluyendo falta de presentación de reportes operativos, omisión de reportar operaciones o ausencia de datos en los sistemas de reporte de transferencias.

Cambios estructurales: Modificaciones fundamentales en las condiciones requeridas para la inscripción, incluyendo cambios en accionistas, directores, estructura de control o modelo operativo no comunicados al BCRA.

Sanciones: Sanciones impuestas por el BCRA, la UIF, la CNV, la SSN o reguladores extranjeros equivalentes sobre el PSP, sus accionistas o sus autoridades.

Inconsistencias en la información: Cambios relevantes en la información de accionistas, directores u operatoria respecto de lo registrado al momento de la inscripción, cuando no se comunicaron de manera proactiva.

El disparador de inactividad merece atención específica. Un PSP que atraviesa una pausa operativa extendida, un pivot o una brecha de financiamiento puede ser dado de baja del registro si sus reportes regulatorios lapsan durante 180 días corridos consecutivos, incluso sin intención de cesar operaciones. Esto exige gestión activa de los calendarios de reporte independientemente de la actividad operativa.

Que completar antes del 3 de agosto#

El plazo de 90 días vence el 3 de agosto de 2026. Para equipos de compliance y operadores fintech, los workstreams que deben completarse incluyen:

Auditoría de la estructura accionaria: Mapeá todos los accionistas, beneficiarios finales, socios y directores contra resoluciones de la UIF sobre financiamiento del terrorismo, el registro RePET y las listas del Consejo de Seguridad de la ONU. Preparar declaraciones juradas. Documentar el proceso. Construir un mecanismo para repetirlo cada vez que cambie la estructura accionaria o de gobierno.

Inscripción como PSPCP como Servicio (si aplica): Si operás bajo este modelo, asegurate de tener registrados ante el BCRA todos los tomadores del servicio. Auditá los contratos existentes para verificar que incluyen todas las exigencias regulatorias del BCRA como obligaciones contractuales del tomador. Validá que las interfaces de terceros cumplen con los estándares del BCRA de identificación, AML, prevención del fraude y seguridad de la información.

Oficial de Cumplimiento ante la UIF: Designá y registrá formalmente tanto al titular como al suplente.

Revisión del calendario de reportes: Confirmá que todos los reportes regulatorios obligatorios están al día y establecé monitoreo para el umbral de inactividad de 180 días. Un lapsus en los reportes puede ahora disparar la baja de oficio sin previo aviso.

Actualización documental: Actualizá toda la documentación de accionistas, directores y gobierno para cumplir con los nuevos formatos y requisitos de contenido. Asegurate de tener en orden los certificados de antecedentes penales y las declaraciones juradas de PEP para cada persona que lo requiera.

El contexto del 4 de agosto: RMGCTI#

Al día siguiente del vencimiento de la A 8432, el 4 de agosto, entra en vigor el RMGCTI (Requisitos Minimos de Gestion, Control y Tecnologias de la Informacion). Bajo el RMGCTI, los PSPs deben incluir en sus contratos con proveedores tecnológicos cláusulas específicas de auditoría, ciberseguridad y continuidad operativa.

Dos exigencias mayores del BCRA entran en vigencia en 48 horas. Los PSPs que lleguen al 3 de agosto con documentación mínima y sin mejoras estructurales van a enfrentar de inmediato otro conjunto de requisitos sin margen de maniobra.

Compliance como infraestructura#

Hay una diferencia concreta entre adecuarse para el 3 de agosto y estar posicionado para lo que viene después.

El compliance construido como un conjunto de documentos, políticas y ciclos de revisión manual funciona hasta que el entorno regulatorio cambia. Cada actualización dispara un ciclo de revisión, distribución interna, capacitación y verificación que depende de que las personas correctas tengan tiempo y atención disponibles. En un entorno regulatorio que se mueve tan rápido como el sector de pagos argentino, ese ciclo se repite de manera constante.

El compliance construido como infraestructura codifica los controles en sistemas. Un cambio regulatorio se convierte en una actualización de configuración, un ajuste de parámetros de reglas o una nueva integración de fuente de datos. Los controles acompañan la operación de manera automática.

La dirección del BCRA es clara: el marco regulatorio de los PSP continúa convergiendo hacia los estándares aplicados a las entidades financieras. Cada Comunicación agrega alcance, precisión y capacidad de enforcement.

La Comunicación A 8432 no exige infraestructura. Exige adecuación. Pero los PSPs que lleguen al 3 de agosto con verificación de KYC automatizada, reglas AML codificadas, monitoreo integrado de beneficiarios finales y detección de fraude en tiempo real están en una posición fundamentalmente distinta a los que lleguen con declaraciones juradas actualizadas y documentos de política revisados.

Las organizaciones que construyen el compliance como una capacidad operativa, en lugar de una función de documentación, son las que escalan sin encontrar techos regulatorios.

Gu1 provee infraestructura de compliance y prevención del fraude para instituciones financieras en Argentina, Brasil, Mexico, Colombia y Chile. La plataforma cubre KYC, monitoreo AML, prevención del fraude y reportería regulatoria bajo los requisitos del BCRA y la UIF en Argentina, y bajo los marcos de los reguladores de cada país de operación en la región.