GMAP de Mastercard 2026: el programa está suspendido

¿Sigue existiendo el GMAP de Mastercard?

El Global Merchant Audit Program (GMAP) figura en las reglas, pero no está vigente. La edición del 4 de agosto de 2026 de Security Rules and Procedures — Merchant Edition declara que el programa “has been suspended until further notice”, es decir, está suspendido hasta nuevo aviso. Por eso, no existe una fuente pública primaria que permita presentar un “nuevo GMAP” como programa vigente, con una fórmula cerrada, umbrales definidos o enforcement en abril de 2027.

Fuente: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

La suspensión no redujo el control de Mastercard sobre la cadena de adquirencia. El Excessive Chargeback Program (ECP), el Excessive Fraud Merchant (EFM) y otras obligaciones siguen vigentes, y cada una nombra a un actor distinto: el ECP mide al comercio, pero a quien Mastercard le cobra es al adquirente; quien actúa como Payment FacilitatorEs la entidad que, bajo el patrocinio de un adquirente, incorpora comercios a la red Mastercard y monitorea su actividad. En este artículo, es el papel formal que puede ejercer el subadquirente. (PayFac) — papel que suele ejercer un subadquirente — debe monitorear continuamente cada comercio que administra; y la exigencia de investigar determinadas señales de scam en un plazo máximo de 72 horas recae sobre toda la cadena de adquirencia.

Este artículo distingue lo que Mastercard ya confirmó de lo que sigue POR CONFIRMAR. Esa diferencia cambia decisiones en cualquier posición de la cadena: ningún eslabón debería comprometerse con base en una regla que la marca todavía no publicó — el adquirente y la Payment Facilitator no deberían definir reservas ni comprometer un plazo de adecuación, y la Payment Facilitator y el comercio no deberían responder así a quien los patrocina.

Las capturas de pantalla, las comunicaciones privadas y las interpretaciones del mercado pueden orientar preguntas, pero no convierten una hipótesis en una regla oficial.

¿Qué está vigente hoy en el monitoreo de comercios de Mastercard?

Mastercard confirma programas de contracargos, fraude y conducta de comercios, además de estándares de monitoreo continuo. También confirma Fraud and Loss Database (FLD) como servicio oficial para reportar fraude. La tabla muestra el estado de cada elemento sin presentar como regla los límites que no se han publicado.

Fuentes: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026; Mastercard Rules, 2 de junio de 2026; Mastercard Developers — Fraud and Loss Database.

El EFM está vigente. Sin embargo, siguen POR CONFIRMAR en una fuente pública primaria actual los umbrales aplicables a Brasil y América Latina, el monto mínimo de fraude, el volumen mínimo de transacciones y los requisitos de 3DS por región.

Las obligaciones de una Payment Facilitator abarcan a cada Sponsored MerchantEs el comercio que acepta Mastercard bajo la gestión de una Payment Facilitator y el patrocinio de un adquirente. Su riesgo sigue siendo responsabilidad de la cadena., es decir, a cada comercio vinculado a ella ante la marca. Obligan a la empresa registrada en ese papel formal, no a cualquier empresa que utilice la denominación comercial de “subadquirente”, y no alcanzan al comercio afiliado directamente por un adquirente, que responde ante ese adquirente, obligado a su vez a monitorear continuamente a sus comercios. Antes de aplicar cualquier umbral, el primer paso es confirmar con el adquirente patrocinador en qué papel está registrada la empresa.

Fuente: Mastercard Rules, 2 de junio de 2026.

¿Cómo calcula el ECP los basis points de un comercio?

El ECP mide los contracargos a nivel de cada comercio. El resultado se expresa en basis pointsUn basis point equivale a 0,01 punto porcentual. Multiplicar una proporción por 10.000 expresa la tasa en esa unidad., o bps, con la siguiente fórmula pública:

Basis points = contracargos recibidos por el adquirente para un comercio en un mes calendario ÷ transacciones Mastercard adquiridas para el mismo comercio durante el mes anterior × 10.000.

Fuente: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

Considere un comercio con 50.000 transacciones Mastercard en el mes anterior y 600 contracargos recibidos en el mes actual. El cálculo es 600 ÷ 50.000 × 10.000 = 120 bps, o 1,20%.

El detalle decisivo es el período del denominador. El ECP usa las transacciones del mes anterior, no las del mes en curso. El volumen procesado ahora solo entra en el denominador del mes siguiente. Un cálculo que divide los contracargos entre el volumen del mismo mes mide otra cosa. Si el volumen del mes anterior baja y los contracargos actuales no disminuyen en la misma proporción, el indicador sube.

Mastercard utiliza dos clasificaciones en el programa: Excessive Chargeback Merchant (ECM) y High Excessive Chargeback Merchant (HECM). La edición pública remite los umbrales numéricos al manual de Data Integrity Monitoring Program y a Pricing and Billing Resource Center, dentro de Mastercard Connect, de acceso restringido. Por eso, los umbrales de ECM y HECM siguen POR CONFIRMAR en una fuente pública, al igual que los valores de assessmentsUn assessment es un cargo que Mastercard aplica al adquirente por incumplimiento del programa. El contrato define si ese costo baja hasta el subadquirente o el comercio, y de qué manera. para Brasil y América Latina. Los 120 bps del ejemplo son un cálculo correcto, pero no permiten clasificar al comercio en una de esas categorías.

Fuente: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

¿Qué sucede con el adquirente cuando un comercio se convierte en ECM o HECM?

Mastercard puede cobrarle al adquirente por un incumplimiento del ECP relacionado con un comercio clasificado como ECM o HECM. Se mide al comercio, pero es el adquirente quien queda expuesto al cobro de la marca. Cualquier traslado —del adquirente al subadquirente, y de este al comercio— depende de lo que prevea cada contrato.

Fuentes: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026; Mastercard Rules, 2 de junio de 2026.

Después de seis meses en condición de ECM o HECM, consecutivos o no, Mastercard puede:

• indicar un action plan con medidas para reducir los basis points del comercio;
• exigir un Franchise Management Program Customer Risk Review cuyo costo asume el adquirente.

Fuente: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

Existe además un mecanismo independiente de compensación a los emisores. Mastercard contempla issuer recovery fees pagadas con montos cobrados al adquirente e informa un mínimo de USD 20 por pago a un emisor. Ese monto no es una multa del comercio ni un assessment unitario del ECP. Los valores de los assessments del programa siguen POR CONFIRMAR en la fuente primaria específica de Data Integrity Monitoring Program y Pricing and Billing Resource Center.

Fuente: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

La cadena causal es esta. El comercio acumula contracargos y el ECP mide a ese comercio. Mastercard puede cobrarle al adquirente o exigirle medidas. El contrato determina si alguna consecuencia baja hasta el subadquirente y el comercio. Ningún traslado es automático por el solo hecho de la clasificación.

¿Qué cambió en julio de 2026 para los potential scam merchants?

Desde julio de 2026, Mastercard exige investigar en un plazo máximo de 72 horas cuando se cumplen los criterios aplicables de potential scam merchant. Si la investigación confirma la actividad, el comercio debe quedar impedido de aceptar Mastercard. El plazo se aplica a la investigación; el bloqueo depende de la confirmación.

La regla encadena dos etapas. No son dos alternativas:

1. Cuando se cumplan los criterios exigidos por el estándar aplicable, la cadena de adquirencia debe investigar el caso en un plazo máximo de 72 horas.
2. Solo si la investigación confirma la actividad de scam, el comercio debe quedar impedido de aceptar Mastercard.

Fuente: revisión de los franchise standards de Mastercard divulgada en 2026, vigente desde julio de 2026. La edición y el identificador del documento no constan en las fuentes consultadas.

El material público consultado no aclara desde cuándo empieza a correr el plazo, ni qué criterios exactos lo activan, ni si el criterio de activación exige todos los requisitos o al menos una condición. Esos puntos siguen POR CONFIRMAR en el estándar aplicable y con el adquirente patrocinador. En cambio, el plazo y la consecuencia de un caso confirmado sí son una regla confirmada.

Las 72 horas son un plazo de respuesta a incidentes, no una rutina mensual. Las revisiones semanales, los datos fragmentados en hojas de cálculo o una sola cola de analistas pueden impedir que la operación detecte la señal, reúna evidencia y concluya la investigación a tiempo.

Ante Mastercard, el adquirente sigue siendo responsable de la cadena y la PayFac debe monitorear continuamente a cada Sponsored Merchant. En la práctica, el reloj de 72 horas corre dentro de la operación que tiene el contacto directo con el comercio, los datos transaccionales de primera mano y el mecanismo de bloqueo: el subadquirente, cuando el comercio es Sponsored Merchant suyo, o el propio adquirente, cuando la afiliación es directa. A ese actor le corresponde detectar la señal, abrir el caso, reunir evidencia y concluir la investigación; el comercio investigado suele conservar parte de la evidencia, y su demora consume el mismo plazo. El bloqueo llega después, si se confirma la actividad.

Fuente: Mastercard Rules, 2 de junio de 2026.

¿Quién responde por qué según las Mastercard Rules?

Mastercard distribuye las responsabilidades entre los actores. El adquirente no deja de responder por el Sponsored Merchant y la Payment Facilitator asume obligaciones propias sobre los comercios que administra. Todos los puntos siguientes se aplican al mismo tiempo:

• el Sponsored Merchant Agreement no exime al adquirente de la responsabilidad por los contracargos ni por el cumplimiento del Sponsored Merchant;
• la Payment Facilitator debe garantizar el cumplimiento de sus Sponsored Merchants;
• la Payment Facilitator debe monitorear continuamente la actividad y el uso de las marcas de cada Sponsored Merchant;
• la Payment Facilitator puede mantener chargeback reserves;
• Mastercard, el adquirente o la PayFac pueden interrumpir la operación de un comercio por actividad fraudulenta o ilícita.

Fuente: Mastercard Rules, 2 de junio de 2026.

Este esquema no deja ningún eslabón fuera. El comercio es la unidad que miden los programas. La Payment Facilitator —papel que el subadquirente ejerce cuando está registrado en él— monitorea a los Sponsored Merchants y puede mantener reservas o interrumpir la operación. El adquirente sigue siendo responsable ante la marca, incluso por los comercios que llegan a la red a través de una PayFac. Por eso, un cobro contractual del adquirente al subadquirente no crea una obligación nueva; puede ser la forma de ejecutar responsabilidades que ya existen en la cadena.

¿El “nuevo GMAP” de abril de 2027 es una regla o un rumor?

El supuesto “nuevo GMAP” sigue POR CONFIRMAR. En el mercado circulan una reactivación en abril de 2027, una fórmula propia y la sustitución de SAFE por FLD como fuente de datos de fraude. No se encontró ninguna de estas afirmaciones en una fuente pública primaria de Mastercard.

El FLD existe y es oficial. Mastercard Developers lo describe como un servicio para reportar y gestionar transacciones fraudulentas ante Mastercard. Lo que no se ha confirmado es su uso como componente de un GMAP reactivado o como sustituto formal de SAFE en ese programa.

Fuente: Mastercard Developers — Fraud and Loss Database.

Hasta que Mastercard publique una nueva regla, siguen POR CONFIRMAR la reactivación o sustitución del GMAP, la fórmula y sus componentes, los umbrales por comercio y por cartera del adquirente, la sustitución formal de SAFE por FLD, abril de 2027, el período consultivo, el enforcement y los assessments. Tratar cualquiera de esos puntos como fecha límite de cumplimiento llevaría a la operación a asumir un compromiso sin una regla pública que lo respalde.

El camino seguro es seguir las nuevas ediciones de Security Rules and Procedures y de las Mastercard Rules. Si el GMAP regresa, el cambio debe aparecer en un documento primario.

¿Qué hacer ahora, con o sin un nuevo GMAP?

La suspensión del GMAP no elimina el trabajo actual. Las acciones siguientes tienen distinta naturaleza: algunas ejecutan una obligación de Mastercard, otras aplican una facultad contractual y otras son recomendaciones operativas. Cada punto nombra al actor al que obliga u orienta, porque la misma tarea cambia de dueño según la empresa sea adquirente, Payment Facilitator o comercio. Esta distinción evita llamar penalidad automática de la marca a una decisión del adquirente.

• Como recomendación operativa para quien mide una cartera —el adquirente y la PayFac—, calcular cada mes el ECP de cada comercio con la fórmula oficial: contracargos del mes actual sobre transacciones Mastercard del mes anterior. El comercio puede rehacer el mismo cálculo con sus propios números. Como los umbrales de ECM y HECM siguen POR CONFIRMAR en una fuente pública, la alerta interna debe activarse mucho antes de cualquier umbral aplicable.
• Para cumplir la regla sobre scam, que recae sobre toda la cadena de adquirencia, mantener un sistema de detección y un runbook de investigación que pueda completarse en 72 horas, desde la alerta hasta la decisión. Los responsables, la evidencia y la autoridad para bloquear deben definirse antes del primer caso. Cuando el comercio es Sponsored Merchant, el monitoreo continuo que alimenta esa detección es obligación de la Payment Facilitator.
• Como recomendación de onboarding para quien afilia comercios —el adquirente o la PayFac—, evaluar MCC, modelo de negocio, ticket, recurrencia, plazo de entrega, historial, UBO/KYB, URLs y comercios relacionados. Cada comercio debe ingresar con una clasificación de riesgo, límites y un plan de monitoreo.
• Como facultad contractual de quien firma el contrato —el adquirente con el subadquirente, la PayFac con el Sponsored Merchant—, definir criterios objetivos de cuarentena y reserva. Pueden incluir límites de volumen, exigencia de 3DS o step-up, aumento de la reserva rotativa y suspensión de nuevos MIDs. Las Mastercard Rules permiten que la Payment Facilitator mantenga chargeback reserves; el contrato determina cuándo y cómo aplicarlas.
• Como regla de salida de quien afilió al comercio, formalizar criterios para fraude o disputas persistentes, deterioro rápido, señales de scam e incumplimiento de estándares. Cuando la investigación confirma una actividad de scam, es obligatorio impedir que el comercio acepte Mastercard.
• Como recomendación de cartera para los tres actores, monitorear ambas marcas en conjunto. En Visa, el fraude y las disputas forman un único indicador en el VAMP, cuyas reglas para Brasil entran en vigor el 1 de octubre de 2026. Los detalles están en nuestro artículo sobre el VAMP en Brasil.

Fuentes: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026; Mastercard Rules, 2 de junio de 2026; Visa Business News, 21/07/2026 (ID AI16637).

La pregunta práctica no es si el nuevo GMAP llegará en abril de 2027. Es qué comercios, medidos con la fórmula oficial del ECP y observados según los criterios de scam ya vigentes, pueden exponer al adquirente el próximo mes y, por vía contractual, alcanzar al subadquirente y al propio comercio. La respuesta depende de los datos de la cartera y de los controles que ya deberían estar funcionando.

Fuentes

• Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.
• Mastercard Rules, 2 de junio de 2026.
• Mastercard Developers — Fraud and Loss Database (FLD).
• Visa Business News, 21 de julio de 2026 (ID AI16637) — fechas del VAMP en Brasil.