Introducción analítica

La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, conocida como LFPIORPI, publicada en el Diario Oficial de la Federación (DOF) el 16 de julio de 2025, ha introducido cambios significativos que impactan a los sujetos obligados. Entre las novedades, destaca la obligación de realizar una Evaluación Basada en Riesgos (EBR) documentada, establecida en la fracción VII del Artículo 18. Esta reforma responde a la necesidad de robustecer el marco regulatorio frente al incremento de operaciones financieras ilícitas, que según la Unidad de Inteligencia Financiera (UIF), ha involucrado la inmovilización de aproximadamente 5,000 millones de pesos entre 2024 y 2026. La EBR no solo busca cumplir con estándares internacionales, como los establecidos por el Grupo de Acción Financiera Internacional (GAFI), sino que también pretende proporcionar a los sujetos obligados un enfoque más dinámico y adaptativo para mitigar riesgos inherentes a sus operaciones. Con una Evaluación Basada en Riesgos, las organizaciones pueden identificar y priorizar amenazas específicas, ajustando sus estrategias de debida diligencia y monitoreo de manera proporcional al riesgo identificado.

Pasemos ahora a explorar el marco legal detallado que sustenta esta obligación.

La LFPIORPI, reformada el 16 de julio de 2025, establece en su artículo 18, fracción VII, la obligación para los sujetos obligados de realizar una Evaluación Basada en Riesgos documentada. Esta obligación se integra en un contexto más amplio de reformas que incluyen la introducción de nuevas fracciones en el mismo artículo, ampliando de seis a once las obligaciones específicas. Dentro de este marco, la EBR se alinea con recomendaciones internacionales, particularmente la Recomendación 1 del GAFI, que enfatiza un enfoque basado en riesgos para prevenir el lavado de dinero y el financiamiento del terrorismo.

La EBR requiere un análisis detallado de los riesgos asociados a las actividades vulnerables, que son aquellas enumeradas en el Artículo 17 de la LFPIORPI, como el desarrollo inmobiliario y las operaciones con activos virtuales. Los sujetos obligados deben considerar factores como el tipo de cliente, la jurisdicción, los productos y servicios ofrecidos, así como la naturaleza y volumen de las transacciones. Un ejemplo concreto de umbral es el que aplica a actividades inmobiliarias, donde se requiere presentar un aviso por operaciones que excedan las 8,025 veces el valor diario de la Unidad de Medida y Actualización (UMA), equivalentes aproximadamente a 908,098.50 pesos mexicanos en 2026.

Una vez entendido esto, vale la pena preguntarse cómo se implementa esta obligación en la práctica.

Análisis práctico

Implementar una Evaluación Basada en Riesgos documentada requiere un enfoque metódico y estructurado. A continuación, se describe un proceso paso a paso que puede servir como guía para los sujetos obligados:

  1. Identificación del riesgo: Se deben identificar los riesgos inherentes a las actividades que realiza el sujeto obligado. Esto incluye analizar el tipo de clientes, productos y servicios, canales de distribución y jurisdicciones involucradas.

  2. Evaluación y ponderación de los riesgos: Cada riesgo identificado debe ser evaluado y ponderado en función de su probabilidad de ocurrencia y el impacto potencial. Un banco que procesa remesas internacionales, por ejemplo, podría identificar un riesgo alto asociado a jurisdicciones con regulaciones laxas.

  3. Desarrollo de controles y mitigación: Basado en la evaluación, se deben diseñar controles internos que permitan mitigar los riesgos identificados. Por ejemplo, establecer procedimientos de debida diligencia del cliente más rigurosos para clientes de alto riesgo.

  4. Documentación y reporte: Toda la evaluación y los controles implementados deben ser documentados de manera exhaustiva. Esta documentación es crucial para auditorías y para demostrar cumplimiento ante las autoridades regulatorias.

  5. Monitoreo y revisión continua: La EBR no es un ejercicio único. Los sujetos obligados deben establecer mecanismos de monitoreo continuo y revisiones periódicas para ajustar los controles en función de cambios en el perfil de riesgo.

Por ejemplo, una inmobiliaria que vende 12 unidades por un total de 2.8 millones de pesos mensuales debe presentar avisos al SAT mensualmente, si la operación excede el umbral de las 8,025 UMA. Este proceso no solo asegura el cumplimiento normativo sino que también protege a la organización de posibles sanciones regulatorias.

Otro punto crítico es considerar los riesgos y consecuencias del incumplimiento.

Riesgos y consecuencias

El incumplimiento de la obligación de realizar una Evaluación Basada en Riesgos puede acarrear sanciones severas. De acuerdo con el Artículo 54 de la LFPIORPI, las multas pueden oscilar entre 200 y 65,000 UMA, es decir, entre aproximadamente 22,628 y 7,354,100 pesos mexicanos. Además, el Artículo 62 prevé penas de prisión de 2 a 8 años para quienes presenten declaraciones falsas sobre el cumplimiento de las obligaciones.

Casos documentados, como el de la sanción impuesta a una importante firma inmobiliaria en 2025 por no realizar los avisos correspondientes, destacan las implicaciones operativas del incumplimiento. Además de las sanciones económicas, el impacto reputacional puede ser devastador, afectando las relaciones con clientes y socios comerciales.

Las implicaciones operacionales también deben considerarse. La implementación de una EBR documentada implica una inversión en personal capacitado y en tecnología para el monitoreo automatizado de transacciones. En este sentido, herramientas como Artu, que ofrece un módulo específico para la evaluación basada en riesgos, pueden facilitar el cumplimiento.

Pasemos ahora a revisar las mejores prácticas implementadas por líderes del sector.

Mejores prácticas

Los sujetos obligados más avanzados en el cumplimiento de la LFPIORPI han adoptado una serie de mejores prácticas para implementar de manera efectiva la Evaluación Basada en Riesgos documentada:

Procesos

  • Integración de tecnología avanzada: Uso de software especializado como Artu para automatizar la recopilación y análisis de datos relacionados con la EBR.
  • Capacitación continua del personal: Programas de formación anual que aborden las actualizaciones normativas y las mejores prácticas internacionales.

Controles

  • Desarrollo de matrices de riesgo dinámicas: Estas matrices se ajustan regularmente en función de los cambios en el entorno operativo y regulatorio.
  • Implementación de auditorías internas: Revisiones periódicas para asegurar que los procesos de EBR sean efectivos y cumplan con los requisitos legales.

Documentación

  • Registros detallados de evaluaciones: Documentación minuciosa de cada paso del proceso de evaluación y de los controles implementados.
  • Reportes periódicos a la alta dirección: Informar regularmente sobre el estado de la EBR y las acciones correctivas necesarias.

Estos enfoques no solo aseguran el cumplimiento normativo, sino que también posicionan a las organizaciones como líderes en la prevención de lavado de dinero y financiamiento al terrorismo.

Para visualizar mejor los cambios introducidos por la reforma, a continuación se presenta una tabla comparativa de las obligaciones antes y después de la reforma de 2025.

Tabla comparativa de obligaciones antes y después de la reforma 2025

Obligación Antes de la Reforma 2025 Después de la Reforma 2025
Número de fracciones en el Art. 18 6 11
Evaluación Basada en Riesgos No requerida Requerida (fracción VII)
Manual de Políticas Internas PLD/FT No requerido Requerido (fracción VIII)
Capacitación anual al personal No especificada Requerida (fracción IX)
Mecanismos automatizados de monitoreo No especificados Requeridos (fracción X)
Auditoría PLD No especificada Requerida (fracción XI)

Una vez entendida esta comparación, podemos concluir con una recomendación estratégica.

Conclusión estratégica

La implementación efectiva de la Evaluación Basada en Riesgos bajo el Artículo 18 fracción VII es crucial para los sujetos obligados en México. Dado el rigor y las consecuencias del incumplimiento, es vital que las organizaciones inviertan en tecnología y capacitación para cumplir con estos nuevos requerimientos. Herramientas como Artu pueden ser un recurso valioso para automatizar y eficientar este proceso, permitiendo a las organizaciones no solo cumplir con la normativa, sino también fortalecer su posición en el mercado al demostrar un compromiso con la transparencia y la legalidad.

Finalmente, es recomendable que las organizaciones revisen y actualicen continuamente sus matrices de riesgo, asegurando que estas reflejen los cambios en el entorno operativo y regulatorio, y que estén alineadas con las mejores prácticas internacionales.

Simplifica tu cumplimiento PLD con Artu

Artu ayuda a sujetos obligados en México a automatizar cada obligación del Art. 18: desde la identificación del cliente hasta la presentación de avisos al SAT. Modular, auditable y con implementación en 4 semanas.

Conoce Artu →

FAQ

  1. ¿Qué es una Evaluación Basada en Riesgos (EBR) documentada?

    La Evaluación Basada en Riesgos documentada es un proceso sistemático que identifica, evalúa y mitiga los riesgos de lavado de dinero y financiamiento al terrorismo en una organización. Según la LFPIORPI, los sujetos obligados deben documentar este proceso, considerando factores como el tipo de cliente, productos y servicios, y jurisdicciones. La EBR permite ajustar los controles internos de manera proporcional al nivel de riesgo identificado, asegurando un enfoque preventivo y adaptativo frente a amenazas potenciales.

  2. ¿Debo actualizar mi matriz de riesgo cada vez que incorporo un producto nuevo?

    Sí, es recomendable que cada vez que se incorpore un nuevo producto o servicio, la matriz de riesgo se actualice para reflejar cualquier nuevo riesgo asociado. Esto asegura que los controles internos sigan siendo efectivos y estén alineados con las operaciones actuales de la organización. La actualización constante de la matriz de riesgo es una práctica recomendada para mantener un enfoque proactivo en la gestión de riesgos.

  3. ¿La EBR documentada sustituye al Manual de Políticas Internas o son documentos separados?

    La EBR documentada y el Manual de Políticas Internas son documentos separados pero complementarios. Mientras que la EBR se centra en identificar y evaluar riesgos específicos, el Manual de Políticas Internas detalla los procedimientos y controles que implementa la organización para mitigar esos riesgos. Ambos documentos son requeridos bajo la LFPIORPI tras la reforma de 2025 y deben trabajarse de manera conjunta para asegurar un cumplimiento integral.

  4. ¿Cuáles son las sanciones por no cumplir con la EBR documentada?

    El incumplimiento de la obligación de realizar una EBR documentada puede resultar en multas que oscilan entre 200 y 65,000 UMA, es decir, entre aproximadamente 22,628 y 7,354,100 pesos mexicanos. Además, podría haber consecuencias legales más severas, incluyendo penas de prisión si se evidencia la presentación de información falsa o engañosa, como establece el Artículo 62 de la LFPIORPI.

  5. ¿Qué herramientas tecnológicas pueden facilitar el cumplimiento de la EBR?

    Herramientas tecnológicas como Artu, que ofrece módulos específicos para la evaluación basada en riesgos, pueden simplificar y automatizar el cumplimiento de esta obligación. Artu utiliza inteligencia artificial generativa para el monitoreo continuo y la generación de reportes, lo que facilita a los sujetos obligados mantener una documentación precisa y actualizada, además de permitir una implementación rápida en tan solo cuatro semanas.