Las pérdidas globales por fraude en pagos en línea en el sector del comercio electrónico se estimaron en aproximadamente 44 mil millones de dólares en 2024. Pero, ¿quién paga cuando una transacción resulta ser fraudulenta? Eso depende de cómo se procesó el pago, qué herramientas de seguridad se utilizaron y qué reglas se aplican en segundo plano. Ese traspaso de responsabilidad se llama transferencia de responsabilidad, y es una pieza clave del sistema de pagos. Lamentablemente, muchas empresas no piensan en ello hasta que les toca asumir las consecuencias.

A continuación, explicaremos exactamente cómo funciona la transferencia de responsabilidad, cuándo ocurre y cómo usarla a tu favor.

¿De qué trata este artículo?

• ¿Qué es una transferencia de responsabilidad en el contexto de los pagos con tarjeta?
  
• ¿Cuándo ocurre una transferencia de responsabilidad y quién se vuelve responsable?
  
• ¿Cómo afecta la transferencia de responsabilidad a tu estrategia de prevención de fraude?
  

¿Qué es una transferencia de responsabilidad en el contexto de los pagos con tarjeta?

Una transferencia de responsabilidad define quién es responsable cuando un pago se identifica como fraudulento. Esa responsabilidad puede cambiar dependiendo de quién en la cadena de pagos utilizó las herramientas de seguridad adecuadas. Se reduce a qué parte no logró asegurar la transacción.

Si una empresa utiliza protocolos de seguridad actualizados, como lectores de chip EMV (Europay, Mastercard y Visa) y 3D Secure (3DS), y aún así ocurre un fraude, la responsabilidad generalmente se transfiere al emisor de la tarjeta. Si la empresa omite esas protecciones, el emisor ya no es responsable. La empresa (o su banco adquirente) se convierte en responsable financieramente por el contracargo.

Ese cambio en la responsabilidad es intencional. Las redes de tarjetas lo utilizan para impulsar la adopción de mejores medidas de seguridad. El mensaje es claro: implementa una autenticación más fuerte y no serás quien cubra las pérdidas por fraude.

Las reglas de la red de tarjetas siguen una lógica estricta para evaluar la responsabilidad:

• ¿Implementó la empresa el método de autenticación disponible?

• ¿Se procesó la transacción a través del canal adecuado?

Si las respuestas a ambas son «Sí», la empresa está protegida. Si no, está expuesta.

¿Cuándo se produce una transferencia de responsabilidad y quién pasa a ser responsable?

La transferencia de responsabilidad no se aplica a cada transacción. Ocurre solo cuando se utilizan (o no) ciertas tecnologías o protocolos para detectar y prevenir el fraude. Si se cumplen esas condiciones, el riesgo de fraude se transfiere de la empresa al emisor. Si no, la empresa es responsable.

Aquí tienes un análisis más detallado de cuándo y por qué se produce una transferencia de responsabilidad según el tipo de transacción.

Transacciones con tarjeta de chip EMV

Si un cliente presenta una tarjeta de chip EMV para el pago, pero la empresa no la procesa utilizando un lector de chip, la empresa se convierte en responsable de cualquier fraude relacionado con esa transacción. Esto significa lo siguiente:

• Si la empresa no admite EMV pero la tarjeta tiene un chip, la empresa (o su adquirente) asume la pérdida.

• Si la empresa utiliza un lector EMV en la tarjeta con chip, es probable que el emisor sea responsable.

Esto no afecta a disputas no relacionadas con el fraude de tarjeta, como reclamaciones de «producto dañado». La empresa sigue siendo responsable de esas.

Transacciones en línea

La transferencia de responsabilidad para pagos en línea o móviles generalmente depende de si se utilizó 3DS y si la autenticación tuvo éxito:

• Si una transacción se autentica a través de 3DS, la responsabilidad se transfiere al banco del titular de la tarjeta.

• Si no se utiliza 3DS, falla o no está disponible, la empresa es responsable.

Si el titular de la tarjeta afirma más tarde que no autorizó el cargo, el emisor es responsable solo si se completó la autenticación. Incluso si la transacción no fue autenticada porque el emisor no participa en 3DS u ocurre un error, la responsabilidad generalmente no se trasladará al emisor.

Transacciones sin contacto y monederos digitales

Muchos monederos digitales (por ejemplo, Apple Pay, Google Pay) califican para la transferencia de responsabilidad debido a cómo se tokenizan y autentican. Estas transacciones suelen incluir una prueba criptográfica de que el titular de la tarjeta fue verificado mediante biometría o credenciales del dispositivo. Cuando se presenta esa prueba, la responsabilidad generalmente se transfiere al emisor.

Transacciones sin opciones de autenticación

No todos los canales permiten la autenticación, incluidos los pagos por pedido por correo o teléfono (MOTO). En estos casos, la responsabilidad generalmente permanece con la empresa porque la transacción no puede ser verificada en tiempo real.

¿Cómo afecta la transferencia de responsabilidad a tu estrategia de prevención de fraude?

La transferencia de responsabilidad es una herramienta de toma de decisiones. Da forma a cómo manejas el riesgo, qué pasos de seguridad tomas en el proceso de pago y cómo equilibras la prevención de fraude con la experiencia del cliente.

Te ayuda a decidir cuándo añadir autenticación

3DS te da algo que la mayoría de las herramientas de fraude no pueden: protección contra la responsabilidad financiera. Eso lo convierte en un respaldo poderoso, especialmente para transacciones que activan señales de riesgo, como pedidos de alto valor, tarjetas internacionales y clientes primerizos.

Algunas empresas utilizan 3DS de manera selectiva. Por ejemplo, usarán 3DS en transacciones de alto riesgo para trasladar la responsabilidad lejos de sí mismas, pero lo omitirán en transacciones de bajo riesgo para minimizar la fricción en el proceso de pago y preservar las tasas de conversión. No están tratando a cada cliente como una amenaza, sino utilizando la transferencia de responsabilidad donde más importa.

Pero en algunas regiones, el cumplimiento de la normativa requiere el uso de 3DS en todas las transacciones en línea.

Cambia cómo interpretas las puntuaciones de riesgo

Cuando sabes que una transacción tiene transferencia de responsabilidad (porque 3DS tuvo éxito o se utilizó el chip), podrías decidir aprobarla incluso si hay indicadores de fraude presentes. Por el contrario, si una transacción no califica para la transferencia de responsabilidad, podrías querer aumentar el escrutinio. Eso podría significar requerir más verificación, enviarla a revisión manual o bloquearla.

Replantea el coste del fraude

Una transferencia de responsabilidad exitosa significa que el emisor, y no tu negocio, asume la pérdida. Esto reduce tu exposición financiera directa, pero el fraude sigue teniendo costes indirectos como:

• Pérdida de inventario

• Gestionar la escalada de disputas

• Ser marcado por las redes por altas tasas de fraude

Aunque la transferencia de responsabilidad reduce el impacto del fraude, no elimina sus consecuencias. Siempre es preferible prevenirlo cuando sea posible.

Tu estrategia general depende de tu modelo de negocio, perfil de riesgo y geografía. La UE, por ejemplo, requiere autenticación reforzada de clientes (SCA) para todos los pagos por Internet, y la autenticación 3DS actualizada cumple con ese requisito. En EE. UU. y otras regiones, 3DS es opcional. Eso te da más flexibilidad pero también más decisiones que tomar. Si operas a nivel global, es probable que termines utilizando una estrategia híbrida: 3DS donde se requiere y un enfoque basado en el riesgo en otros lugares.