El Enfoque Basado en Riesgos no es lo mismo que clasificar a un cliente, y la reforma ya no permite confundirlos

INFORME TÉCNICO · PREVENCIÓN DE LAVADO DE DINERO

A propósito de la reforma a la LFPIORPI del 16 de julio de 2025, su Reglamento del 27 de marzo de 2026 y las Reglas de Carácter General vigentes

Resumen

La reforma a la LFPIORPI convirtió al Enfoque Basado en Riesgos, EBR, en una obligación operativa y no en una declaración de buenas intenciones. En el camino, aparece un error técnico que se repite en casi cada revisión: tratar la autoevaluación de riesgo de la empresa como si fuera lo mismo que la clasificación de riesgo de cada cliente. Son dos instrumentos del mismo marco legal, pero no cumplen la misma función, no se calculan igual y no se actualizan con la misma frecuencia. Este informe explica la diferencia con el detalle técnico que exige la ley, y usa un caso real de fracaso, el de HSBC en 2012, para mostrar qué pasa cuando el EBR se diseña mal aunque exista en papel.

Qué es el EBR y de dónde viene

El Enfoque Basado en Riesgos es el modelo que hoy rige la prevención de lavado de dinero en la mayoría de las jurisdicciones del mundo, y sustituye al esquema anterior de cumplimiento formalista, donde bastaba con llenar una lista de requisitos sin distinguir el nivel de riesgo real de cada operación. Su origen está en la Recomendación 1 del Grupo de Acción Financiera Internacional, GAFI, que establece que los sujetos obligados deben identificar, evaluar y comprender los riesgos de lavado de dinero a los que están expuestos, para aplicar medidas de mitigación proporcionales a esa exposición.

En México, el EBR se introdujo formalmente en el sector financiero el 9 de marzo de 2017. Para las actividades vulnerables no financieras, entre ellas la construcción, el desarrollo y la comercialización de inmuebles, la obligación se volvió explícita hasta la reforma a la LFPIORPI del 16 de julio de 2025, que la incorporó como fracción VII del artículo 18.

Los cinco elementos que la autoridad exige evaluar

Una metodología de EBR no puede limitarse a una impresión general del negocio. La autoridad exige que se analicen, como mínimo, cinco elementos de riesgo, sustentados en datos reales de los últimos doce meses:

• Productos y servicios. Se evalúa si facilitan el anonimato, si permiten movilizar montos altos sin identificación directa. Para una inmobiliaria, esto incluye distinguir entre una operación de compraventa tradicional y un fideicomiso de garantía con múltiples aportantes.
• Clientes y usuarios. El tipo de persona, física, moral o fideicomiso, su nacionalidad, actividad económica y si se trata de una Persona Políticamente Expuesta o alguien en listas de personas bloqueadas.
• Países y áreas geográficas. Exposición a jurisdicciones señaladas como deficientes por el GAFI, regímenes de baja tributación, o zonas del propio país con alta incidencia delictiva.
• Transacciones. Montos, frecuencia, uso de efectivo, moneda extranjera, activos virtuales o instrumentos prepagados.
• Canales de distribución. Si la operación es presencial o se realiza a través de plataformas digitales o intermediarios.

A esto se suma un insumo que muchas empresas ignoran: la Evaluación Nacional de Riesgos, coordinada por la Unidad de Inteligencia Financiera, que clasifica las amenazas estructurales del país con una escala de probabilidad e impacto del cero al nueve. La ley exige que sus hallazgos se integren a la metodología interna de cada sujeto obligado, no que se archiven junto al resto de la documentación.

El error técnico que se repite: EBR institucional contra clasificación de cliente

Aquí está el punto que este informe quiere dejar claro. El EBR de la entidad y la clasificación de riesgo de un cliente en lo individual conviven en el mismo ecosistema de control, pero operan bajo metodologías, niveles de análisis y propósitos distintos.

La autoevaluación institucional, el EBR propiamente dicho, mira a la empresa completa, de forma agregada. Su propósito es conocer la exposición global al riesgo para ajustar políticas, límites operativos y el Manual de Políticas Internas. Las variables que usa son los elementos de riesgo globales y el volumen acumulado de operaciones del año. Se mide por concentración del negocio, es decir, qué proporción de la cartera total representa cada segmento de riesgo. Se actualiza, como mínimo, una vez al año, o antes si hay un cambio operativo relevante o una nueva Evaluación Nacional de Riesgos.

La clasificación de riesgo de cada cliente mira, en cambio, a una persona o entidad en lo individual. Su propósito es determinar la intensidad de la debida diligencia que corresponde a ese cliente específico, simplificada, estándar o reforzada. Las variables clave son su profesión, su geolocalización, el origen y destino de sus recursos. El impacto corporativo de la empresa no forma parte de esta calificación individual, y confundir ambos criterios es, precisamente, el error técnico más común. Se actualiza de forma continua, cada vez que cambia el perfil transaccional del cliente o se modifica su expediente.

La consecuencia práctica de mezclarlas es previsible: empresas que dedican recursos desproporcionados a revisar clientes individuales de bajo riesgo, mientras la concentración real de su cartera en un segmento de alto riesgo, que es justamente lo que mide el EBR institucional, queda sin medir ni documentar.

La fórmula detrás del EBR

El diseño cuantitativo del EBR parte de una relación simple: el riesgo inherente es igual a la probabilidad de que ocurra un evento, multiplicada por su impacto. A ese resultado se le restan los mitigantes, es decir, la efectividad real de los controles internos implementados, para obtener el riesgo residual.

El objetivo nunca es llegar a un riesgo residual de cero. El riesgo remanente siempre está latente en cualquier actividad económica. El objetivo técnico es mantenerlo dentro de un rango de tolerancia que la propia empresa defina y pueda sostener ante la autoridad.

Los mitigantes que la ley espera ver

Para reducir el riesgo inherente a un riesgo residual razonable, la empresa necesita mitigantes concretos, no solo declaraciones de intención:

• Gobierno corporativo. Involucramiento formal de la dirección, políticas de tolerancia al riesgo aprobadas, y recursos reales asignados al área encargada de la prevención.
• Control interno y procesos. Procedimientos claros para recopilar y verificar datos de clientes, empleados, proveedores y beneficiarios finales.
• Estructura interna. Un Comité de Comunicación y Control formalmente constituido, y un Oficial de Cumplimiento con la capacidad real de actuar, no solo de reportar.
• Capacitación. Programas anuales, actualizados y diseñados según el giro específico de la empresa, no una plantilla genérica comprada en línea.
• Sistemas automatizados. Infraestructura tecnológica capaz de aplicar los modelos de riesgo en tiempo real y detectar operaciones que se apartan del perfil habitual de cada cliente.

Lo que cambió en 2025 y 2026

La reforma a la LFPIORPI del 16 de julio de 2025 rediseñó el artículo 18, ampliando el catálogo de obligaciones de seis a trece fracciones. El EBR para actividades vulnerables no financieras se volvió obligación formal en la fracción VII. El Manual de Políticas Internas, la capacitación anual certificada, el monitoreo automatizado en tiempo real y la auditoría anual dejaron de ser prácticas recomendadas para convertirse en mandatos con fracción propia. El plazo de resguardo de expedientes se duplicó, de cinco a diez años. Se incorporó el intercambio habitual de activos virtuales como actividad vulnerable, y el umbral para identificar al beneficiario controlador de una persona moral bajó del cincuenta al veinticinco por ciento de participación o control.

El Reglamento, reformado el 27 de marzo de 2026, aterrizó varias de estas obligaciones. Introdujo la identificación formal de Personas Políticamente Expuestas, nacionales y extranjeras, y habilitó la consulta de la lista que coordina la Unidad de Inteligencia Financiera. Creó la obligación de una auditoría anual de efectividad. Estableció que el aviso por sospecha o coincidencia en listas debe presentarse dentro de veinticuatro horas, incluso si la operación no llegó a celebrarse. Y fijó la acumulación obligatoria de operaciones en periodos de seis meses, precisamente para detectar el fraccionamiento artificial de montos.

Un cambio que conviene subrayar sin dramatizarlo: las sanciones de 2026 se aplican bajo un criterio objetivo. No hace falta demostrar dolo o negligencia para que proceda una multa, basta con el incumplimiento del EBR o la omisión de un aviso. Con la UMA vigente de 117.31 pesos, las sanciones van de 200 a 65 mil UMA, hasta 7 millones 625 mil 150 pesos por infracción.

El entorno legal alrededor de estas obligaciones también se movió. En abril de 2026, la Suprema Corte validó, por mayoría, la facultad de la Unidad de Inteligencia Financiera para incluir a personas y empresas en la lista de personas bloqueadas y congelar sus activos de forma preventiva, sin orden judicial previa. Un mes antes, la propia Unidad firmó un memorando de cooperación con la agencia IRS-CI de Estados Unidos para rastrear flujos financieros vinculados a delitos transnacionales. Y en abril de 2026 publicó una guía de jurisdicciones de riesgo que obliga a presentar, ante el Comité de Comunicación y Control, la adopción de controles automatizados dentro de sesenta días naturales desde su publicación.

Dos marcos internacionales que ayudan a ordenar el diseño

La ley mexicana no exige adoptar un marco internacional específico para construir el EBR, pero dos de ellos ayudan a que el diseño interno no se quede en un documento aislado.

El marco COSO ERM, actualizado en 2020 con una guía específica para gestión de riesgo de cumplimiento, insiste en que un programa efectivo no se sostiene solo vigilando actividad delictiva, sino alineando la prevención con la estrategia y el desempeño real de la empresa. Su estructura de cinco componentes, gobierno y cultura, estrategia, desempeño, revisión y monitoreo, e información y reporte, es útil precisamente para que el EBR deje de ser un ejercicio anual aislado y se convierta en parte del funcionamiento cotidiano del negocio. En 2026, el propio COSO publicó una guía complementaria que insiste en la transición de la teoría a la acción, para evitar lo que ellos mismos llaman cumplimientos de papel.

La norma ISO 31000:2018 aporta un proceso iterativo de cuatro pasos: establecer el alcance y los criterios, valorar el riesgo, identificando, analizando y evaluando, tratarlo con medidas concretas, y darle seguimiento constante. Es, en esencia, la misma lógica que exige la metodología mexicana de autoevaluación, expresada como un ciclo que no termina cuando se entrega el informe anual.

El caso HSBC: qué pasa cuando el EBR existe en papel pero falla en el diseño

En julio de 2012, el Senado de Estados Unidos publicó un reporte que documentó cómo HSBC Bank USA clasificó a México, durante años, con el nivel de riesgo más bajo posible dentro de su propia metodología, pese a que reportes del Departamento de Estado ya alertaban sobre flujos masivos de efectivo vinculados al tráfico de drogas.

Esa clasificación incorrecta tuvo un efecto en cascada. El regulador estadounidense determinó que el sistema de monitoreo del banco excluía del análisis automatizado todas las transferencias provenientes de países clasificados como riesgo estándar o medio. Al ubicar a México en esa categoría, aproximadamente dos tercios del volumen total de pagos internacionales del banco quedaron fuera de los filtros tecnológicos. Bajo ese esquema se procesaron 670 mil millones de dólares en transferencias electrónicas y 9,400 millones de dólares en efectivo sin generar una sola alerta.

El banco sí tenía un comité de cumplimiento y sí generaba reportes de operaciones inusuales, pero ese comité carecía de la autoridad interna para obligar a las áreas comerciales a cerrar cuentas de alto riesgo, incluidas casas de cambio vinculadas a organizaciones delictivas. Cuando finalmente se corrigieron los parámetros del sistema, la acumulación de alertas pendientes desbordó al equipo de cumplimiento, y terminaron presentando, de forma extemporánea, 890 reportes de operaciones sospechosas.

El caso terminó en un acuerdo de enjuiciamiento diferido con el Departamento de Justicia y una multa de 1,921 millones de dólares. La lección no es que HSBC no tuviera compliance. La tenía, en el papel. Falló en dos puntos exactamente donde la ley mexicana pone hoy el énfasis: la calificación correcta del riesgo geográfico, y la gobernanza real detrás de los mitigantes, no solo su existencia formal.

Qué hacer con esto

Ninguna de estas obligaciones es nueva en su origen, GAFI las viene recomendando desde hace más de una década. Lo que cambió es que, en México, dejaron de ser una intención razonable para convertirse en una exigencia con fracción de artículo, plazo y sanción objetiva.

La recomendación práctica no es reaccionar con una revisión apresurada de todo el expediente, sino empezar por lo que suele estar mal desde el diseño: verificar si la empresa está calculando una sola cosa cuando en realidad la ley le exige dos, la autoevaluación institucional y la clasificación individual de cada cliente, y si los sistemas de monitoreo reflejan de verdad el perfil de riesgo geográfico y transaccional del negocio, no una plantilla genérica copiada de otro giro.

Si quieres platicar sobre el diseño del EBR de tu empresa, escríbenos.

Fuentes

• Decreto por el que se reforman y adicionan diversas disposiciones de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. Diario Oficial de la Federación, edición vespertina, 16 de julio de 2025.
• Decreto por el que se reforman, adicionan y derogan diversas disposiciones del Reglamento de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. Diario Oficial de la Federación, edición vespertina, 27 de marzo de 2026.
• Recomendación 1, Grupo de Acción Financiera Internacional, GAFI.
• Committee of Sponsoring Organizations of the Treadway Commission, Compliance Risk Management: Applying the COSO ERM Framework, noviembre de 2020, y From Guidance to Action: Exploring Practical Enterprise Risk Management, mayo de 2026.
• ISO 31000:2018, Gestión del riesgo, Directrices.
• United States Senate, Permanent Subcommittee on Investigations, U.S. Vulnerabilities to Money Laundering, Drugs, and Terrorist Financing: HSBC Case History, julio de 2012.
• Valor diario de la Unidad de Medida y Actualización, vigente de febrero de 2026 a enero de 2027, Instituto Nacional de Estadística y Geografía.