Mejores prácticas de ACH
Mejores prácticas sencillas y seguras
Los originadores deben conocer las normas y directrices operativas emitidas anualmente por el
Asociación Nacional de Cámaras de Compensación Automatizadas (Nacha). Las reglas operativas de Nacha y
Las directrices supervisan cada pago ACH y proporcionan directrices exactas para el almacenamiento seguro,
acceder y transmitir información sensible de los clientes.
Se requiere conocimiento básico de las Normas y Directrices Operativas de Nacha, incluso si utiliza un tercero-
Sistema de procesamiento de pago de terceros para procesar ACH. Es su responsabilidad conocer la ACH
Normas y asegúrese de que su negocio cumpla con la normativa. Manténgase al día con los cambios en las reglas
la página web de Nacha.
Mejores prácticas para ACH
Supervise y concilie las cuentas diariamente para detectar actividad no autorizada
Las normas de Nacha exigen que los débitos corporativos ACH no autorizados o indebidos se registren en su
cuenta, deberá devolverse a más tardar en la apertura del negocio del segundo día bancario siguiente
La fecha de liquidación de la entrada original (es decir, un día para devolver un débito ACH). Si no está autorizado
Si el débito no se devuelve dos días después de la facturación, será mucho más difícil recuperar los fondos perdidos.
Actúe rápidamente al recibir una entrada de NOC (Notificación de Cambio)
Las reglas de Nacha exigen que los clientes originadores de ACH cambien la información (la información
solicitado que la Institución Financiera Depositaria Receptora (RDFI) lo cambie en un plazo de seis (6)
días bancarios desde la recepción del NOC o la próxima vez que se genere la transacción, lo que ocurra primero
más adelante. Los cambios comunes incluyen actualizaciones en códigos de transacción, números de cuenta y/o de enrutamiento
números.
Corrija las devoluciones de ACH rápidamente, utilizando el proceso adecuado si se reinicia la entrada
-
Una entrada ACH devuelta no puede reiniciarse a menos que (1) la entrada haya sido devuelta por fondos insuficientes o no cobrados; (2) la entrada haya sido devuelta por pago detenido y el reinicio haya sido autorizado por el titular de la cuenta, o (3) la institución financiera depositaria de origen (First Bank Texas) haya tomado medidas correctivas para remediar el motivo de la devolución.
-
Un originador puede reiniciar una entrada de débito dentro de 180 días hasta dos veces. Esas entradas deben enviarse en un lote separado y contener contenido idéntico en los campos Nombre de la empresa, ID de la empresa y $ Importe.
- Las entradas reiniciadas deben contener "RETRY PYMT" en la descripción de la entrada de la empresa
Campo.
Inicie las entradas ACH bajo doble control
Siempre que sea posible, divida las responsabilidades entre varios empleados. Para prevenir accesos no autorizados
ACH pagos, separe el proceso de pagos, donde un empleado creará/subirá el
El lote ACH y otro empleado son responsables de aprobar los lotes. Para prevenir
Acceso no autorizado o inapropiado al sistema, separar el proceso de aprobación de pagos donde
Un usuario puede añadir o eliminar usuarios, pero no tiene la capacidad de aprobar, borrar o editar
lotes.
Implemente procedimientos que alerten sobre actividades de "bandera roja"
Forme a los empleados para que estén atentos a cambios en el diseño de la web, cambios en la maquetación de facturas, situaciones graves
Errores ortográficos en una web o notificaciones por correo electrónico, advertencias de "sistema caído", etc.
Implemente una política de seguridad para los sistemas de la empresa
No permita que los empleados utilicen sitios de redes sociales en los mismos sistemas informáticos que el
El sistema de banca en línea de las empresas. Los ataques comunes en redes sociales incluyen el 'likejacking', donde
Los atacantes usan botones falsos de "me gusta" para engañar a los usuarios y hacer clic en botones web que instalan malware
y publicar actualizaciones en el feed de noticias de un usuario para difundir el ataque; o, ofertas/aplicaciones falsas para unirse a un
grupo o suscripción falsa con incentivos que se utilizan para robar credenciales o recolectar otros
Datos personales.
Reglas y actualizaciones que todo originador de ACH debería conocer
Requisitos de autorización para entradas de consumidores
El originador debe obtener autorización tanto para entradas de crédito como de débito al consumidor y debería
Asegúrese de que la autorización sea clara y fácilmente comprensible para el titular o receptor de la cuenta.
- La autorización debe indicar claramente el número de cuenta y el número de ruta bancaria (es decir, una copia de
el cheque del titular de la cuenta), y el tipo de cuenta (depósito a la vista, ahorros). - El consumidor debe fechar y firmar o autenticar de manera similar las autorizaciones de débito.
- Se debe realizar una revisión de las autorizaciones para asegurarse de que cumplan los requisitos
de las Reglas Operativas de NACHA. - First Bank Texas proporcionará formularios de autorización a solicitud.
Los originadores pueden esperar la devolución de las entradas de los consumidores que no estén debidamente autorizadas. - Una entrada de débito no autorizada es una entrada en la que (1) se han incumplido los requisitos de autorización
no se ha seguido conforme a las Normas de Operación de Nacha o es inválido bajo
requisitos legales aplicables; (2) se inició una transacción por un importe diferente al
la autorizada por el administrador judicial; (3) se inició una transacción para liquidación antes de
autorizado por el administrador judicial.
En general, las entradas de débito del consumidor deben ser devueltas por el RDFI en el tiempo y de la manera que
la devolución se pone a disposición de la ODFI a más tardar en la apertura de operaciones bancarias
Día siguiente al sexagésimo (60) día natural siguiente a la fecha de liquidación de la entrada original.
Este plazo de devolución también se aplica a la devolución de entradas de débito para las que el receptor del consumidor
Previamente había revocado su autorización.
Requisitos de autorización para entradas corporativas
Como en las entradas de consumidores, el receptor de la empresa (Empresa) debe autorizar todos los créditos ACH y
se debita a su cuenta.
- El receptor de CCD (Crédito y Débito Corporativo), CTX (Bolsa de Comercio Corporativo)
entradas, y IAT (Transacciones Internacionales ACH a una cuenta de cliente corporativo) deben
celebrar un acuerdo con el originador al que el receptor ha aceptado estar
sujeto a las Normas Operativas de Nacha. - Este acuerdo para créditos y/o débitos en la cuenta corporativa del cliente debe ser
Dejar claro al cliente corporativo qué representa el crédito/débito.
A diferencia de las entradas de consumidor, en general, el receptor no consumidor de una entrada CCD, CTX o IAT
Debe devolver las entradas a más tardar en la apertura del negocio del segundo (2) día bancario.
Tras la fecha de liquidación, se requiere una revisión rápida de las transacciones para detectar cualquier caso no autorizado.
Entradas.
Aviso de cambio para débitos recurrentes
Para débitos recurrentes, cuando el importe del débito varía, las reglas exigen que el originador notifique a la
titular/receptor de la cuenta dentro de diez (10) días naturales antes de la fecha programada de transferencia. Si un
El originador cambia la fecha en que debita al titular/receptor de la cuenta, debe notificar al
titular de la cuenta/receptor por escrito de la nueva fecha de la entrada al menos siete (7) días naturales
antes de que la primera entrada afectada por el cambio esté programada para ser debitada al Administrador
cuenta.
Retención de documentos para autorizaciones
La autorización firmada o autenticada de forma similar debe ser retenida por el originador para un
Periodo de dos años tras la terminación o revocación de la autorización.
- En el caso de una autorización en papel firmada por el consumidor, el
El originador debe conservar el original o una copia de la autorización firmada. - Esta autorización puede obtenerse en un formato electrónico que (1) refleje con precisión el
La información en el registro, y (2) puede ser reproducida con precisión para más adelante
Referencia.
A petición de su ODFI, el originador debe proporcionar el original, copia u otro registro preciso de
la autorización del receptor al ODFI para su uso o para el uso de un RDFI que solicite el
información. El originador debe proporcionar en tiempo y manera que permitan al ODFI
entregar la autorización a un RDFI solicitante dentro de los diez (10) días bancarios desde la solicitud inicial del RDFI
Petición.
Identificación del nombre de la empresa
El originador debe asegurarse de que se identifique claramente la fuente de un ACH
transacción. Específicamente, las normas requieren que el originador rellene el campo del nombre de la empresa
con el nombre por el que es conocida y fácilmente reconocida por el receptor de la entrada. Como
Este nombre de empresa aparece en el extracto del titular de la cuenta, y debería reconocerse fácilmente
por el titular de la cuenta/receptor del débito/crédito.
Transacciones internacionales ACH (IAT)
La creación del código estándar de clase de entrada IAT no está permitida por First Bank Texas. Ciertos
ACH pagos que se clasificaron como transacciones nacionales pueden clasificarse como internacionales
pagos o transacciones IAT hoy en día. La transacción ACH puede clasificarse como internacional
pago (transacción IAT) si su empresa (1) es una filial de una corporación multinacional; (2)
tiene filiales extranjeras; (3) compra o vende a organizaciones o particulares fuera del territorio
jurisdicción de los Estados Unidos; o (4) envía pagos de nómina, pensiones o beneficios a través del ACH
Haga networking con personas que tengan domicilio permanente fuera de la jurisdicción territorial
de los Estados Unidos.
Leyes relativas a la Oficina de Control de Activos Extranjeros (OFAC)
Las corporaciones están obligadas a cumplir con las obligaciones de OFAC, y las sanciones por ignorarlas
Las obligaciones pueden ser tanto penales como civiles e incluyen tanto penas de cárcel como multas que van desde
De $10,000 a $10,000,000 por suceso. Si estas multas se imponen a la entidad financiera,
pueden ser devueltos al originador corporativo dependiendo de los detalles del caso y
Los detalles de su contrato con la entidad financiera. Las multas son impuestas por Estados Unidos.
El gobierno y los fondos recaudados son propiedad del gobierno, no de la institución financiera.
Información adicional sobre las obligaciones y multas de la OFAC puede encontrarse en lo siguiente
enlace: https://www.treas.gov/offces/enforcement/ofac/.
Notificaciones previas
Las notificaciones previas son entradas de cero dólares generadas para validar la cuenta mantenida en la RDFI.
Los originadores pueden originar una prenota; sin embargo, esto no es obligatorio según las normas. Si el
El originador inicia una prenotificación, debe esperar tres (3) días bancarios antes de iniciar la transmisión en vivo
Cantidad en dólares.
Revertir un archivo o entrada ACH
Un originador puede revertir un archivo erróneo o duplicado, o un elemento dentro del archivo, en un plazo de 5
días bancarios después de la fecha de liquidación del expediente original. La palabra "REVERSAL" debe ser
colocado en el campo de cabecera por lotes de la empresa y si el archivo está revirtiendo un archivo erróneo, el
El originador debe iniciar un archivo de corrección junto con el archivo de inversión. El originador debe notificar a
titular(es) de cuenta/receptor(es) de la entrada que revierte y motivo de la entrada que revierte a más tardar
que la fecha de liquidación de la entrada de reversión.
Códigos de clase de entrada estándar (SEC)
First Bank Texas permite a los originadores enviar PPD (Pagos y Depósitos Preorganizados) para
entradas que se registran en cuentas de consumo y CCD (Créditos y Débitos Corporativos), CCD+, y
CTX (Corporate Trade Exchange) para las entradas que se registran en cuentas corporativas. ¿Algún otro tipo de
Los códigos estándar de clase de entrada requieren la aprobación de First Bank Texas antes de su uso.
Detener pagos realizados por el consumidor
Esto afecta a los originadores, ya que puede aplicarse un stop pago al sistema del RDFI para todas las transacciones futuras.
transacciones relacionadas con el único originador del pago. Los originadores necesitan capacitar internamente
para asegurarse de que entiendan que puede haber múltiples devoluciones de pagos detenidos. Estos
No debe reiniciarse hasta que se resuelva.
Roles y responsabilidades del remitente de terceros
Un remitente de terceros es un tipo de proveedor de servicios de terceros que actúa como intermediario
entre el banco y los clientes de la entidad (del remitente tercero). Las reglas exigen que todos
Los remitentes externos realizan auditorías de cumplimiento normativo y evaluación de riesgos de su operación ACH
y el cumplimiento de las normas a más tardar el 12/31/YYYY de cada año. Documentación
El apoyo a la finalización de una auditoría debe ser (1) retenido durante un periodo de seis años a partir de la fecha
de la auditoría, y (2) proporcionada a Nacha a petición. Como es un requisito de la regla, First Bank
Texas exige una copia de la auditoría ACH y la evaluación de riesgos cada año. Tercero aprobado
Los remitentes deben consultar su acuerdo para los requisitos adicionales. Esto solo se aplica a
Remitentes externos.
Seguridad de datos
El cliente de origen es responsable de asegurarse de que él (junto con cualquier servicio de terceros
los proveedores que actúan en su nombre) implementan y mantienen políticas y procedimientos de seguridad
sistemas relacionados con la iniciación, el procesamiento y el almacenamiento de entradas y la protección resultante
información.
Además, es responsabilidad del cliente educar al personal sobre cómo proteger al
El sistema de banca en línea de las empresas, tome medidas razonables para mantener la confidencialidad y
Seguridad de los procedimientos de seguridad y de cualquier contraseña, código, dispositivo de seguridad, incluyendo pero
No limitado a autenticación multifactor, autenticación fuera de banda y navegador seguro
Sesiones.
Las políticas, procedimientos y sistemas de seguridad deben: (1) Proteger la confidencialidad e integridad de la
información protegida, (2) Proteger contra amenazas o peligros anticipados para la seguridad o
integridad de la información protegida hasta su destrucción y (3) proteger contra el uso no autorizado de
información protegida que podría causar un daño considerable al cliente.
Requisitos de gestión de riesgos y evaluación
First Bank Texas, como ODFI, puede establecer procedimientos adicionales de gestión de riesgos tales como
requiriendo que se realice una auditoría de la actividad de sus Originadores, monitoreando de cerca el volumen de retorno
de sus originadores, y evaluando el riesgo asociado al tipo de actividad ACH realizada por
Cada originador. Los originadores deben comprender la necesidad de las prácticas de gestión de riesgos
respecto a lo siguiente (1): La realización de la debida diligencia respecto a los originadores y
Remitentes de terceros; (2) La valoración de la naturaleza del originador o del tercero
La actividad ACH del remitente y los riesgos que conlleva; y, (3) el establecimiento de procedimientos para
supervisar la actividad de originación y devolución de un originador o de un remitente tercero, y hacer cumplir
Límites de exposición y restricciones sobre los tipos de transacciones ACH que pueden originarse.
Preguntas frecuentes
¿Qué sucede si se devuelve un pago ACH?
Cuando se recibe una ACH devolución, su cuenta recibirá una devolución de cargo o una devolución de crédito
Entrada y se le notificará de la declaración, junto con información sobre cómo visualizarla
detalles.
¿Cuánto cuestan los cargos por devolución de ACH y Notificación de Cambio (NOC)?
Las tarifas pueden variar, por favor consulte su tabla de tarifas.
¿Puede una empresa impugnar un pago devuelto de ACH?
Dispute un ACH si era un duplicado, estaba mal dirigido, la información era inexacta, el
La devolución no se produjo dentro de los plazos previstos, o se produjo un crédito no intencionado al receptor.
El resultado de la reversión.
¿Qué es una notificación de cambio (NOC)?
Una notificación de cambio (NOC) se produce cuando el banco que recibe la entrada ACH notifica al banco
Enviar la entrada de ACH que indica que parte de la información es incorrecta. Con los NOC, ACH
Las transacciones se registran en la cuenta del destinatario, pero la información dentro de la entrada de ACH necesita
se corregirá para asegurar que las futuras transacciones que se reciban sean procesadas.
¿Por qué es importante la revisión oportuna de la notificación de cambio y las devoluciones de ACH?
La precisión de la información al enviar ACH lotes o archivos siempre es importante. De lo contrario,
Existe el riesgo de desviar transacciones de ACH y depender de que otro banco las realice correctamente.
Correcciones. Estas transacciones suelen ser críticas para el destinatario, como un depósito de nómina. En
Además, las normas de Nacha exigen que se realicen cambios en un plazo de (6) seis días bancarios posteriores a la recepción de un
notificación de cambio o una devolución ACH. Si no se cumple esto, se pueden imponer sanciones
contra el banco de origen.
¿Cuáles son las formas de reducir las devoluciones?
Disminuya las probabilidades de un ACH retorno verificando que una entrada sea correcta (incluida la del destinatario
número de ruta bancaria). La Reserva Federal tiene una herramienta para verificar que el número de ruta bancaria es correcto
ACH procesamiento. FRFS: Búsqueda de RDFIs de participantes de FedACH (frbservices.org)
Compromiso del correo electrónico de empresas (BEC)
¿Qué es el compromiso del correo electrónico de empresas?
El compromiso de correo electrónico empresarial es un tipo de estafa de phishing en la que los estafadores intentan hackear, suplantar o
Suplantar direcciones de correo electrónico empresariales. Pueden cambiar una letra o un número en algo familiar
Dirección de correo electrónico para que su estafa parezca legítima.
Ejemplo: bill.smith@ABCBuilders.com - bill.smith@ABCBuildrs.com
Los estafadores pueden enviar correos electrónicos a empleados para intentar obtener credenciales o convencerlos
Alguien que envíe una transferencia fraudulenta. También pueden enviar un correo electrónico que parezca ser de un
Un tercero conocido, como un proveedor.
También se sabe que los estafadores envían correos electrónicos a los clientes, haciéndose pasar por legítimos.
negocios, en un intento de obtener su información de pago u otra información confidencial.
¿Cómo reconocer una estafa de compromiso de correo electrónico de empresa?
Las estafas BEC suelen ser difíciles de detectar, pero hay algunas señales de alerta a las que debe prestar atención.
Los signos comunes de los mensajes BEC incluyen:
- El mensaje es breve, urgente y le urge a saltarse las políticas normales y
procedimientos; - La solicitud parece provenir de un ejecutivo, proveedor u otro socio que esté fuera de la
norma; - Una solicitud de información confidencial de empleados, nómina o empresa;
- Los correos electrónicos tienen palabras mal escritas o gramática incorrecta;
- Archivos adjuntos inesperados enviados por correo electrónico;
- Correos electrónicos enviados fuera del horario laboral o en fines de semana, festivos u otros días no estándar
días laborables.
Revise cuidadosamente la dirección de correo electrónico del remitente para asegurarse de que es legítima. Ya que pueden ser justos
Con un solo carácter de diferencia, las direcciones de correo electrónico suplantadas pueden pasarse por alto fácilmente.
¿Cómo protegerse contra el compromiso del correo electrónico de empresas?
- Verifique por teléfono antes de enviar los fondos. SIEMPRE llame al proveedor, socio comercial, o
Un colega directamente para verificar la información de pago. Utilice números ya conocidos para usted
saber que son correctos —incluso en diferentes zonas horarias— y no los números proporcionados en
Una solicitud de correo electrónico o mensaje de texto. Nunca inicie ningún cambio solo por correo electrónico o
Comunicación por texto. - Tenga cuidado con la nueva información de pago. Cuidado con las solicitudes por correo electrónico que instruyan a un
Pago rutinario por transferencia para ser enviado a una nueva cuenta. - Compare su pago con una factura legítima antes de pagar. Con bastante frecuencia,
Los estafadores suelen hacerse pasar por un proveedor de confianza que solicita el pago. Antes de enviar
Pagos, asegúrese de que el pago solicitado coincida con una factura legítima. - Verifique antes de hacer clic en un enlace o abrir un archivo adjunto en un correo electrónico o mensaje de texto. Puede que
Parece que viene de alguien que usted conoce, pero puede ser un fraude de phishing para su
contraseña, cuenta bancaria empresarial u otra información confidencial. Precaución extra: el enlace
Puede contener malware. - Revise bien la dirección de correo electrónico. Los estafadores son astutos y pueden crear correos electrónicos
Direcciones que se parecen mucho a la cuenta legítima. A menudo encuentran nombres
convenciones para las cuentas de correo electrónico de una empresa en su web y úselas para engañarlo -
¡Inspeccione bien! - No responda al correo electrónico como verificación. No responda al solicitante por correo electrónico. El
El estafador controla la cuenta de correo suplantada o ha conseguido acceso al correo válido
La cuenta puede responder, haciendo que parezca legítima. - Cuidado con la sensación de urgencia. Normalmente, los estafadores indican que los fondos deben ser transferidos
Que se envíen por cable de inmediato. Estas solicitudes suelen pedir que el cliente sea contactado únicamente a través de
Correo electrónico en lugar de otros canales. - Conozca y confíe en quién está trabajando. Antes de hacer negocios con un nuevo
Empresa, busque el nombre de la empresa en línea con los términos "estafa" o "queja". Lea
Lo que otros dicen sobre la empresa. Solo compre productos de confianza
distribuidores o establecimientos. - Tenga cuidado al usar cuentas de correo electrónico gratuitas y basadas en la web para su negocio, que son
Más susceptible de ser hackeado. Asegúrese de tener al menos autenticación en dos factores
está disponible. - Tenga cuidado al publicar información en redes sociales y sitios web de empresas, ya que
Los estafadores pueden utilizar esta información para emplear nuevas tácticas. - Limite el procesamiento de sus actividades financieras a tan pocas máquinas como
Es posible y también limita otras actividades, como navegar por internet en esas máquinas. - Considere procedimientos de seguridad financiera que incluyan una autenticación de dos factores
Proceso o control dual para transferencias electrónicas de fondos. - Crear reglas para un sistema de detección de intrusiones que identifiquen correos electrónicos con extensiones que sean
Similar al correo electrónico de la empresa, pero no exactamente igual (por ejemplo, .co en vez de .com). Si
posible, registrar todos los dominios de internet que sean ligeramente diferentes del real
Dominio de la empresa. - Conozca los hábitos de sus clientes, incluyendo la razón, el detalle y la cantidad de
Pagos. Cuidado con cualquier cambio significativo. - Considere parchear con frecuencia y regularidad los sistemas de su empresa.
- Utilice una solución antivirus de próxima generación de calidad, que vigile anomalías de comportamiento
Y no solo firmas.
Pasos a seguir en caso de fraude o pérdida debido a BEC.
Si ocurre fraude o pérdida como resultado de responder a un correo electrónico BEC con información confidencial,
Hay algunos pasos a seguir:
- Repórtelo al equipo de TI/ciberseguridad de su organización.
- Llámenos al (817) 598-4900 para que podamos tomar las precauciones necesarias para asegurar su
First Bank Texas cuentas. - Cambie las contraseñas de las cuentas de correo electrónico y financieras.
- Revise los estados de cuenta para detectar cualquier actividad sospechosa.
- Contacto a la policía y presente una denuncia.
- Presente un informe de delitos en Internet (IC3) https://www.ic3.gov/
Formulario de autorización de depósito directo
First Bank Texas está comprometida a atender sus necesidades de originador de ACH. Para preguntas sobre las normas, recursos o cuestiones de ACH, contacte con el departamento de ACH.
Teléfono: 817-598-4900
Correo electrónico: FBTACHProcessing@go2fbt.com
Dirección:
First Bank Texas
Atención: ACH Departamento
220 Palo Pinto
Weatherford, TX 76086
.png)
.png)
