Introducción analítica

En el dinámico entorno de prevención de lavado de dinero en México, la Evaluación Basada en Riesgos (EBR) se ha consolidado como una herramienta crucial para los sujetos obligados. Con la reforma sustantiva al artículo 18 de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada en el Diario Oficial de la Federación el 16 de julio de 2025, se establece una nueva obligación bajo la fracción VII: la implementación de una EBR documentada. Esta reforma es un reflejo del compromiso de México con los estándares internacionales del Grupo de Acción Financiera Internacional (GAFI), que evalúo al país en 2026, destacando avances significativos en su régimen AML (Anti-Money Laundering o prevención de lavado de dinero).

El contexto mexicano es desafiante. Según el último padrón público del SAT, más de 8,500 sujetos obligados están registrados para cumplir con los requisitos de la LFPIORPI. Estas entidades incluyen desde instituciones financieras hasta desarrolladores inmobiliarios, todos los cuales deben operar bajo un esquema de gestión de riesgos que ahora exige una formalización más rigurosa. Esta evolución normativa responde a la creciente sofisticación de los esquemas de lavado de dinero, que en 2025 crecieron en el uso de criptomonedas en un 55.8%, según SILIKN.

La EBR no solo refuerza la detección y mitigación de riesgos, sino que también optimiza los recursos de las empresas al permitir un enfoque más eficiente y dirigido en sus controles PLD. Pasemos ahora a examinar el marco legal que sustenta esta obligación.

La LFPIORPI y su reforma de 2025 reconfiguran las obligaciones de los sujetos obligados, particularmente mediante la inclusión de la Evaluación Basada en Riesgos en el Artículo 18, fracción VII. Esta disposición exige que los sujetos obligados realicen una evaluación documentada de los riesgos asociados con sus actividades, clientes y productos, asegurando un enfoque integral y proactivo en la mitigación de riesgos de lavado de dinero.

En términos de umbrales, la LFPIORPI ha adoptado el valor de la Unidad de Medida y Actualización (UMA) como referencia, lo que en 2026 equivale a $113.14 MXN diarios. Las actividades vulnerables, como las señaladas en el Artículo 17, deben ser evaluadas no solo en función de los montos involucrados sino también del perfil de riesgo de los clientes, lo que implica un análisis detallado de su comportamiento transaccional y posibles vínculos con actividades ilícitas.

Por ejemplo, la nueva fracción VII del Artículo 18 obliga a los sujetos a mantener actualizada una matriz de riesgo que contemple factores como la naturaleza del negocio, la ubicación geográfica, el tipo de productos ofrecidos y la tipología de los clientes. Esta matriz debe estar respaldada por un manual de políticas internas, como exige la fracción VIII, y ser objeto de auditoría regular, ya sea interna o externa, según la fracción XI.

La implementación de la EBR es crítica para estar en conformidad con el régimen regulatorio y evitar sanciones que pueden oscilar entre 200 y 65,000 UMA, lo que representa multas de entre 22,628 y 7,354,100 pesos mexicanos. Ahora, exploremos cómo se implementa esta obligación en la práctica.

Análisis práctico

Implementar una Evaluación Basada en Riesgos efectiva requiere un enfoque sistemático y bien documentado. Para ilustrar cómo se lleva a cabo en la práctica, consideremos a una correduría inmobiliaria que maneja transacciones mensuales por un valor de 30 millones de pesos. Esta entidad deberá desarrollar un proceso de EBR que incluya los siguientes pasos:

  1. Identificación de riesgos: La correduría debe identificar los riesgos inherentes a sus operaciones, tales como el lavado de activos a través de la compra de propiedades de lujo. Esta etapa implica analizar el historial de transacciones y el perfil de los clientes.

  2. Evaluación de riesgos: Aquí se ponderan los riesgos identificados, clasificándolos según su severidad y probabilidad. Por ejemplo, transacciones en efectivo por encima de 8,025 UMA, aproximadamente novecientos mil pesos, podrían considerarse de alto riesgo.

  3. Mitigación de riesgos: La correduría debe implementar controles específicos para mitigar los riesgos evaluados. Esto puede incluir medidas como verificar la identidad del cliente (KYC o Know Your Customer), exigir declaraciones de fuente de fondos y monitorear transacciones inusuales.

  4. Documentación y revisión continua: Todo el proceso debe ser documentado y revisado periódicamente para adaptarse a cambios en el entorno de riesgo. La revisión debe incluir auditorías internas o externas para garantizar la eficacia del sistema de gestión de riesgos.

Por ejemplo, si la correduría detecta un cliente que intenta realizar una compra con un perfil de riesgo elevado, debe reportar un aviso de operación preocupante a la UIF (Unidad de Inteligencia Financiera) dentro de las 24 horas, conforme al Artículo 18, fracción VI, párrafo segundo.

Este enfoque no solo facilita el cumplimiento normativo, sino que también protege a la entidad de sanciones severas y daños reputacionales. Ahora, consideremos los riesgos y consecuencias del incumplimiento de esta obligación.

Riesgos y consecuencias

El incumplimiento de la obligación de implementar una Evaluación Basada en Riesgos puede tener serias repercusiones para los sujetos obligados. Las sanciones estipuladas en el Artículo 54 de la LFPIORPI pueden variar desde multas monetarias significativas hasta la posibilidad de enfrentar cargos penales, dependiendo de la gravedad de la infracción.

Por ejemplo, una entidad que no realice una EBR adecuada y cuyos empleados participen en actividades de lavado de dinero, aún de manera inadvertida, podría enfrentar multas de hasta 65,000 UMA, lo que representa más de siete millones de pesos. Además, los responsables pueden ser sujetos a penas de prisión de hasta ocho años, según el Artículo 62 de la LFPIORPI, por declarar falsamente o no reportar operaciones sospechosas.

Operativamente, el incumplimiento también puede resultar en la pérdida de licencias para operar, especialmente en sectores altamente regulados como el financiero. Esto no solo impacta financieramente a la empresa sino que también puede destruir su reputación y confianza en el mercado.

Además, el caso de una famosa institución financiera sancionada en 2025 por la CNBV por no implementar controles adecuados de EBR subraya la importancia de cumplir con este requerimiento. La entidad no solo enfrentó multas millonarias, sino que también perdió clientes clave debido a la falta de confianza en su capacidad para gestionar riesgos de PLD.

Mejores prácticas

Los sujetos obligados que han adoptado un enfoque proactivo para la implementación de Evaluación Basada en Riesgos han establecido una serie de mejores prácticas que pueden servir de guía para otros en la industria. Estas prácticas incluyen:

Implementación de Tecnología

  • Software especializado: La adopción de soluciones tecnológicas, como el software de compliance 360 de Artu, permite automatizar y optimizar la EBR. Este software incluye módulos para KYC/KYB, monitoreo transaccional y reportes automatizados al SAT, lo que facilita un cumplimiento integral.

  • Inteligencia Artificial: El uso de IA para analizar patrones de transacciones y predecir posibles riesgos ha demostrado ser eficaz para identificar actividades sospechosas de manera más rápida y precisa.

Documentación y Capacitación

  • Manual de Políticas Internas: Un manual bien estructurado, que incluya políticas claras sobre identificación de clientes, monitoreo de transacciones y gestión de riesgos, es fundamental. El documento debe ser revisado y actualizado regularmente.

  • Capacitación continua: La formación anual del personal, como lo exige el Artículo 18, fracción IX, garantiza que todos los empleados estén al tanto de las últimas regulaciones y procedimientos internos.

Auditorías y Monitoreo

  • Auditorías regulares: La realización de auditorías internas o externas permite evaluar la efectividad de la EBR y realizar ajustes cuando sea necesario.

  • Monitoreo automatizado: Implementar sistemas automatizados para el monitoreo continuo de transacciones ayuda a detectar rápidamente actividades inusuales y a actuar en consecuencia.

Estas prácticas no solo aseguran el cumplimiento normativo, sino que también fortalecen la capacidad de la organización para prevenir y detectar actividades de lavado de dinero.

Tabla comparativa

Obligación del Artículo 18 Antes de la reforma (pre-2025) Después de la reforma (2025)
Número de fracciones 6 11
EBR Documentada No requerida Obligatoria (Fracción VII)
Manual de Políticas No especificado Obligatorio (Fracción VIII)
Capacitación No específica Anual (Fracción IX)
Auditoría No requerida Obligatoria (Fracción XI)

La tabla anterior ilustra cómo las obligaciones bajo el Artículo 18 se han ampliado significativamente desde la reforma de 2025, subrayando la importancia de una EBR documentada.

Conclusión estratégica

Implementar una Evaluación Basada en Riesgos de manera efectiva es ahora más que nunca una prioridad para los sujetos obligados en México. No solo es un requerimiento legal bajo la LFPIORPI, sino que también constituye una práctica esencial para protegerse contra los riesgos de lavado de dinero y financiamiento al terrorismo. A medida que el entorno de cumplimiento se vuelve más complejo, las organizaciones deben adoptar enfoques proactivos e integrados para gestionar sus riesgos.

Contar con herramientas tecnológicas avanzadas, como Artu, puede ser crucial para automatizar y agilizar el cumplimiento de estas obligaciones, permitiendo a las empresas no solo cumplir con la normativa, sino también optimizar sus procesos. En última instancia, una EBR bien implementada puede ofrecer una ventaja competitiva al fomentar la confianza del mercado y reducir los riesgos regulatorios.

FAQ OBLIGATORIO

¿Debo actualizar mi matriz de riesgo cada vez que incorporo un producto nuevo? Sí, la introducción de nuevos productos puede alterar significativamente el perfil de riesgo de una entidad. Según la LFPIORPI, la matriz de riesgo debe reflejar los riesgos actuales y potenciales asociados con todas las operaciones de la empresa. Por lo tanto, es recomendable actualizar la matriz de riesgo cada vez que se introduzca un nuevo producto o servicio, considerando factores como el tipo de clientes que atraerá, las jurisdicciones involucradas y las posibles vulnerabilidades de lavado de dinero asociadas.

¿La EBR documentada sustituye al Manual de Políticas Internas o son documentos separados? La EBR documentada y el Manual de Políticas Internas son documentos separados pero complementarios. La EBR se centra en la identificación, evaluación y mitigación de riesgos específicos, mientras que el Manual de Políticas Internas establece los procedimientos y controles que una organización implementa para gestionar esos riesgos. Ambos documentos son obligatorios bajo el Artículo 18 de la LFPIORPI y deben ser actualizados regularmente para reflejar cambios en el entorno de riesgo y regulatorio.

¿Cuáles son las consecuencias de no presentar avisos de operación preocupante en el plazo requerido? No presentar avisos de operación preocupante dentro de las 24 horas estipuladas por el Artículo 18, fracción VI, párrafo segundo, puede resultar en sanciones significativas. Las multas pueden variar entre 200 y 65,000 UMA, y en casos extremos, pueden llevar a procedimientos penales si se demuestra que el incumplimiento fue intencionado o sistemático. Además, la falta de reportes puede dañar la reputación de la entidad y afectar su capacidad para operar, especialmente en sectores regulados.

¿Qué papel juega la capacitación en el cumplimiento de la EBR? La capacitación es fundamental para asegurar que todos los empleados comprendan la importancia de la EBR y cómo contribuir a su implementación. La fracción IX del Artículo 18 establece la obligación de capacitar al personal anualmente, lo que ayuda a garantizar que estén al tanto de las últimas regulaciones y técnicas de detección de riesgos. La capacitación efectiva puede mejorar la capacidad de la organización para identificar y mitigar riesgos a tiempo.

¿Cómo puede la tecnología facilitar el cumplimiento de la EBR? La tecnología puede ser una herramienta poderosa para facilitar el cumplimiento de la EBR al automatizar procesos complejos y proporcionar análisis en tiempo real de datos transaccionales. Soluciones como Artu utilizan inteligencia artificial para mejorar la precisión en la detección de patrones de riesgo y generar avisos automáticos al SAT. Esto no solo reduce la carga operativa, sino que también aumenta la eficacia de los controles de PLD, permitiendo a las organizaciones reaccionar rápidamente ante cualquier indicio de actividad sospechosa.

Simplifica tu cumplimiento PLD con Artu

Artu ayuda a sujetos obligados en México a automatizar cada obligación del Art. 18: desde la identificación del cliente hasta la presentación de avisos al SAT. Modular, auditable y con implementación en 4 semanas.

Conoce Artu →