Com. A 8398: El riesgo de tratarlo como un costo hundido
Com. A 8398: El riesgo de tratarlo como un costo hundido
Desde el 4 de agosto de 2026, los Proveedores de Servicios de Pago (PSP) registrados ante el BCRA deben tener implementado el marco de gestión de riesgos de tecnología y seguridad de la información consolidado en la Comunicación A 8398. Es la misma exigencia que rige para entidades financieras desde 2023 bajo la Com. A 7724, extendida ahora a los PSP.
En este sentido, el riesgo es que los PSP lean esto como una obligación regulatoria más, con una fecha límite y un costo asociado, es una lectura incompleta. La adecuación a esta norma define, en los próximos doce meses, quién queda posicionado como un jugador serio del ecosistema de pagos y quién queda expuesto como uno que cumple lo mínimo, tarde y bajo presión.
Un PSP no opera de forma aislada, se relaciona con bancos patrocinantes, posee acuerdos de interoperabilidad, de integraciones con otros PSP y con las cámaras compensadoras, y en muchos casos de rondas de inversión donde el inversor exige due diligence operativo. Cada uno de esos actores tiene, a su vez, su propia obligación de gestionar el riesgo de terceros críticos bajo la misma familia normativa.
Eso significa que un banco que terceriza un servicio en un PSP va a tener que evaluar a ese PSP como parte de su propia gestión de riesgo de terceros. Un PSP que puede mostrar gobierno formal, evidencia sistemática y un historial de cumplimiento sostenido reduce la fricción de esa evaluación. Por el contrario, un PSP que no puede mostrarlo la aumenta, y en algunos casos la vuelve un obstáculo para cerrar el acuerdo.
Esto no es una hipótesis. Es la misma dinámica que ya se observa en la relación banco-proveedor en cualquier sector regulado: la capacidad de demostrar control interno es, cada vez más, una condición de acceso a los mejores contratos, no un requisito accesorio.
El plazo de la Com. A 8398 es el mismo para todo el sector, pero la velocidad y calidad de adecuación no lo van a ser. Los PSP que construyan el marco de gobierno con anticipación —comités que sesionan, políticas aprobadas por Directorio, evidencia acumulada durante meses— van a llegar a agosto de 2026 con algo que los PSP tardíos no van a tener: un historial verificable.
Ese historial tiene valor comercial concreto. Es lo que un banco patrocinante pide ver antes de ampliar un acuerdo. Es lo que un fondo revisa en el due diligence previo a una ronda. Es lo que reduce el tiempo y el costo de una auditoría de contraparte. Es, cada vez más, un criterio de selección cuando una entidad financiera decide con qué PSP asociarse en un mercado donde la oferta de proveedores sigue creciendo.
El error estratégico más común es correr la adecuación como un proyecto de compliance aislado, ejecutado lo más barato y rápido posible para cumplir la fecha. El resultado suele ser un marco formal en el papel, sin apropiación real por parte del negocio, que no genera ningún activo reputacional ni comercial más allá de evitar la sanción.
La alternativa es tratar este proceso como lo que es: una oportunidad de consolidar, con evidencia verificable, la narrativa de que el PSP es un actor maduro y confiable del sistema de pagos argentino. Esa narrativa es un activo. Se construye durante el proceso de adecuación, no después de terminarlo, y es lo que distingue a un PSP que está en capacidad de negociar en mejores condiciones de uno que negocia a la defensiva.
En este sentido, el riesgo es que los PSP lean esto como una obligación regulatoria más, con una fecha límite y un costo asociado, es una lectura incompleta. La adecuación a esta norma define, en los próximos doce meses, quién queda posicionado como un jugador serio del ecosistema de pagos y quién queda expuesto como uno que cumple lo mínimo, tarde y bajo presión.
Quién audita a quién
Un PSP no opera de forma aislada, se relaciona con bancos patrocinantes, posee acuerdos de interoperabilidad, de integraciones con otros PSP y con las cámaras compensadoras, y en muchos casos de rondas de inversión donde el inversor exige due diligence operativo. Cada uno de esos actores tiene, a su vez, su propia obligación de gestionar el riesgo de terceros críticos bajo la misma familia normativa.
Eso significa que un banco que terceriza un servicio en un PSP va a tener que evaluar a ese PSP como parte de su propia gestión de riesgo de terceros. Un PSP que puede mostrar gobierno formal, evidencia sistemática y un historial de cumplimiento sostenido reduce la fricción de esa evaluación. Por el contrario, un PSP que no puede mostrarlo la aumenta, y en algunos casos la vuelve un obstáculo para cerrar el acuerdo.
Esto no es una hipótesis. Es la misma dinámica que ya se observa en la relación banco-proveedor en cualquier sector regulado: la capacidad de demostrar control interno es, cada vez más, una condición de acceso a los mejores contratos, no un requisito accesorio.
El valor de llegar primero y bien
El plazo de la Com. A 8398 es el mismo para todo el sector, pero la velocidad y calidad de adecuación no lo van a ser. Los PSP que construyan el marco de gobierno con anticipación —comités que sesionan, políticas aprobadas por Directorio, evidencia acumulada durante meses— van a llegar a agosto de 2026 con algo que los PSP tardíos no van a tener: un historial verificable.
Ese historial tiene valor comercial concreto. Es lo que un banco patrocinante pide ver antes de ampliar un acuerdo. Es lo que un fondo revisa en el due diligence previo a una ronda. Es lo que reduce el tiempo y el costo de una auditoría de contraparte. Es, cada vez más, un criterio de selección cuando una entidad financiera decide con qué PSP asociarse en un mercado donde la oferta de proveedores sigue creciendo.
El riesgo de tratarlo como un costo hundido
El error estratégico más común es correr la adecuación como un proyecto de compliance aislado, ejecutado lo más barato y rápido posible para cumplir la fecha. El resultado suele ser un marco formal en el papel, sin apropiación real por parte del negocio, que no genera ningún activo reputacional ni comercial más allá de evitar la sanción.
La alternativa es tratar este proceso como lo que es: una oportunidad de consolidar, con evidencia verificable, la narrativa de que el PSP es un actor maduro y confiable del sistema de pagos argentino. Esa narrativa es un activo. Se construye durante el proceso de adecuación, no después de terminarlo, y es lo que distingue a un PSP que está en capacidad de negociar en mejores condiciones de uno que negocia a la defensiva.