El Bangko Sentral ng Pilipinas (BSP) busca que sus instituciones supervisadas (BSIs) implementen controles más estrictos basados en riesgos con el fin de fortalecer la seguridad y la integridad del sistema nacional de pagos.

Mediante un proyecto de circular, el banco central propuso enmiendas al Manual de Regulaciones para Sistemas de Pagos (MORPS) que exigirían a las BSIs establecer mecanismos que refuercen los controles sobre sus actividades de pago. La medida forma parte del mandato de supervisión más amplio del BSP sobre el sistema nacional de pagos, del cual el banco central ha dependido cada vez más a medida que los pagos digitales y las transacciones con códigos QR se expanden por todo el país.

“Las instituciones supervisadas por el BSP, incluidos los Operadores de Sistemas de Pago (OPS) y los Proveedores de Servicios de Pago (PSP), así como otros participantes relevantes del sistema nacional de pagos, deberán establecer y mantener controles basados en riesgos que proporcionen visibilidad suficiente, precisa, actualizada y oportuna sobre las personas, comercios, intermediarios, cuentas, canales de pago, transacciones y flujos de liquidación involucrados en la actividad de pago, en proporción a sus respectivos roles”, señaló el banco central.

Debida diligencia y clasificación de riesgo más estrictas

Las reglas propuestas obligarían a las BSIs a realizar una estricta debida diligencia, efectuar evaluaciones de riesgo e implementar marcos de reporte que cubran sus actividades de pago, incluidos los acuerdos con comercios.

“En su evaluación de riesgo, un OPS-MAL (licencia de adquisición de comercios) o un BSFI (institución financiera supervisada por el BSP) autorizado para dedicarse a la adquisición de comercios deberá asignar una clasificación de riesgo que refleje los riesgos derivados del comercio y de los beneficiarios finales cuyas transacciones se procesan bajo dicho acuerdo”, indicó el BSP.

“Por ejemplo, un comercio no se consideraría de bajo riesgo en una situación en la que su beneficiario final fuera clasificado como de alto riesgo.”

El banco central prohíbe a las BSIs facilitar cualquier acuerdo de pago que oculte identidades, rompa la rendición de cuentas, impida la reconstrucción de transacciones o dificulte la detección, investigación o reporte de delitos financieros.

Bajo los acuerdos directos con comercios, las BSIs no podrían incorporar comercios vinculados a actividades ilegales. Los comercios de alto riesgo solo podrían ser incorporados tras una debida diligencia reforzada, un monitoreo mejorado y la imposición de límites de transacción.

El proyecto de circular identifica como comercios o actividades de alto riesgo aquellos relacionados con casinos y operadores de juegos de azar en línea; administradores de sistemas de juego y operadores de plataformas; proveedores legales de contenido o bienes para adultos; proveedores de servicios de activos virtuales con licencia; y proveedores de servicios de dinero.

Un acuerdo directo con comercios, según se define en el proyecto de circular, es una estructura de aceptación de pagos en la que una BSI autorizada mantiene una relación directa con el comercio, garantizando que ningún intermediario acepte, procese, cobre, reciba, asigne o liquide pagos en su nombre.

Para los comercios e intermediarios extranjeros, las BSIs deberán verificar su existencia legal, los riesgos jurisdiccionales, la legitimidad de sus sitios web y su exposición a sanciones, y garantizar que los registros puedan recuperarse sin obstáculos antes de su incorporación.

Nuevas reglas para acuerdos comerciales escalonados

El banco central también está introduciendo reglas para los acuerdos comerciales escalonados, estructuras que colocan uno o más intermediarios entre la BSI adquirente y el comercio subyacente para apoyar el procesamiento, enrutamiento, cobro o liquidación de pagos.

Las BSIs solo podrán celebrar este tipo de acuerdos si los intermediarios participantes están debidamente autorizados, los roles de todas las partes están claramente asignados y los flujos de pago permanecen totalmente trazables desde la cuenta de origen hasta el comercio subyacente y el beneficiario final.

Estos acuerdos también deben estar respaldados por un acuerdo rector sólido que garantice a la institución adquirente acceso oportuno a datos completos de transacciones y derechos exigibles de auditar, monitorear y restringir actividades, a fin de evitar cualquier menoscabo de la visibilidad o la rendición de cuentas.

Una vez concluidos los períodos transitorios, las BSIs que mantengan acuerdos comerciales escalonados deberán presentar trimestralmente su inventario, junto con una lista de los comercios e intermediarios subyacentes restringidos, suspendidos o terminados.

También deberán notificar cualquier cambio sustancial en su acuerdo al menos 30 días hábiles antes de su fecha de vigencia, y presentar su revisión anual o informe de aseguramiento independiente cada año dentro de los 120 días posteriores al cierre de su año calendario o fiscal.

Base de datos centralizada de comercios con código QR

Por otra parte, el BSP quiere establecer una base de datos nacional centralizada de comercios con códigos de respuesta rápida (QR) para fortalecer la prevención del fraude en el país y asegurar las transacciones basadas en QR. Los pagos con QR se han convertido en un canal común de estafas en Filipinas, y la base de datos propuesta busca dar a los proveedores de pago un registro compartido y autoritativo de comercios legítimos que pueda consultarse en tiempo real.

La base de datos deberá lanzarse en un plazo de 90 días y estar plenamente operativa a más tardar un año después de que las enmiendas pertinentes al MORPS entren en vigor.

Para la base de datos, los proveedores de servicios de pago deberán presentar y mantener actualizados sus perfiles comerciales básicos, incluidas las credenciales únicas de comercios y QR, los nombres comerciales y de registro, las clasificaciones de negocio, los detalles de licencias y las direcciones físicas o digitales de los establecimientos.

Los comercios, por su parte, deberán almacenar en la base de datos registros de sus PSP asociados; las cuentas de liquidación; el dispositivo, terminal o canal utilizado; las estructuras de propiedad beneficiaria; y su fecha de incorporación, clasificación de riesgo en tiempo real y estado de verificación de sanciones, entre otra información.

El BSP additionally exigirá que todos los registros de comercios activos se migren y validen por completo en la base de datos a más tardar 15 meses después de la entrada en vigor de las reglas.

La base de datos informará en tiempo real a todos los PSP participantes sobre cambios en el estado de los comercios —como suspensiones o terminaciones por fraude—, y el BSP ordenará a las partes afectadas realizar revisiones de riesgo inmediatas.

Dentro de seis meses, el organismo de gestión del sistema de pagos (PSMB) deberá presentar al BSP para su aprobación el marco de gobernanza completo, los estándares de datos, las especificaciones de interfaz de programación de aplicaciones, los requisitos de seguridad y el plan de implementación de la base de datos.

A partir de la vigencia de la circular, el BSP también suspenderá la recepción y el procesamiento de todos los nuevos registros de OPS durante un año, mientras realiza una revisión integral de sus marcos de licencias y taxonomía. — Katherine K. Chan