Introducción analítica

La reciente reforma de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada el 16 de julio de 2025 en el Diario Oficial de la Federación (DOF), ha introducido cambios significativos en las obligaciones de los sujetos obligados en México. Uno de los cambios más notables es la inclusión de la Evaluación Basada en Riesgos (EBR) como una obligación documentada bajo la fracción VII del Artículo 18. Este cambio refleja un esfuerzo por alinear la normativa mexicana con las mejores prácticas internacionales recomendadas por el Grupo de Acción Financiera Internacional (GAFI).

La implementación de una EBR implica que los sujetos obligados deben identificar, evaluar y mitigar los riesgos de lavado de dinero y financiamiento al terrorismo a los que están expuestos, basándose en factores como la naturaleza de sus productos, la geografía de sus operaciones y el perfil de sus clientes. Según el último padrón público del Servicio de Administración Tributaria (SAT), existen más de 8,500 sujetos obligados registrados que deberán adaptar sus procesos para cumplir con esta nueva obligación.

La introducción de esta obligación responde a la creciente sofisticación de las operaciones ilícitas. Según la Unidad de Inteligencia Financiera (UIF), se han inmovilizado aproximadamente 5,000 millones de pesos en actividades relacionadas con lavado de dinero en la actual administración (2024-2026). La EBR se presenta así como una herramienta crucial para fortalecer los controles internos y prevenir que las organizaciones sean utilizadas para lavar capitales ilegales.

Con esta reforma, México busca mejorar su calificación en el ámbito internacional y reducir su exposición a sanciones y restricciones comerciales. En este artículo, exploraremos en detalle cómo se integra la EBR en el contexto normativo actual, los retos y oportunidades que presenta su implementación y las mejores prácticas que los sujetos obligados pueden adoptar para cumplir eficazmente con esta nueva obligación.

La obligación de realizar una Evaluación Basada en Riesgos está establecida en la fracción VII del Artículo 18 de la LFPIORPI, como parte de las reformas publicadas el 16 de julio de 2025. Esta obligación exige a los sujetos obligados realizar un análisis exhaustivo de los riesgos de lavado de dinero y financiamiento al terrorismo a los que están expuestos, documentando dicho análisis y las medidas preventivas adoptadas.

El Artículo 18, en su nueva configuración, detalla once fracciones de obligaciones, ampliando las seis fracciones originales. Entre estas obligaciones se incluye la documentación de una EBR, el desarrollo de un Manual de Políticas Internas de Prevención de Lavado de Dinero y Financiamiento al Terrorismo (PLD/FT), la capacitación anual del personal, y la implementación de mecanismos automatizados de monitoreo.

Para contextualizar la importancia de la EBR, es crucial entender que esta herramienta permite a las empresas hacer un uso eficiente de sus recursos al enfocarse en las áreas de mayor riesgo. Por ejemplo, un casino que maneja grandes volúmenes de efectivo en zonas turísticas de alto riesgo deberá tener controles más estrictos en comparación con una empresa de servicios profesionales con exposición limitada a transacciones en efectivo.

El umbral para la identificación de actividades vulnerables se expresa ahora en veces del Valor Diario de la Unidad de Medida y Actualización (UMA), que para 2026 se establece en 113.14 pesos mexicanos. Esto significa que actividades como la compra-venta de bienes inmuebles o la comercialización de vehículos aéreos, marítimos y terrestres, entre otras, deben ser evaluadas bajo estos parámetros para determinar el nivel de riesgo inherente y residual.

Análisis práctico

Implementar una Evaluación Basada en Riesgos de manera efectiva requiere una comprensión clara de los pasos necesarios para llevar a cabo este proceso de forma metódica y sistemática. Una empresa de bienes raíces que realiza operaciones de compraventa de propiedades por un monto mensual de 10 millones de pesos, por ejemplo, debe seguir un enfoque estructurado para identificar y mitigar los riesgos.

Paso 1: Identificación de Riesgos

El primer paso en la EBR es identificar los riesgos a los que está expuesta la entidad. Esto puede incluir la revisión de:

  • Tipología de clientes: Personas Políticamente Expuestas (PEP) o clientes de alto riesgo.
  • Productos y servicios ofrecidos: Transacciones de alto valor o en efectivo.
  • Zonas geográficas de operación: Presencia en áreas con alto índice de criminalidad o corrupción.

Paso 2: Evaluación de Riesgos

Una vez identificados, los riesgos deben ser evaluados para determinar su gravedad y probabilidad de ocurrencia. Las empresas deben clasificar los riesgos en función de su potencial impacto y la frecuencia con la que pueden ocurrir. Esto se traduce en una matriz de riesgo que pondera cada factor y ayuda a priorizar las acciones de mitigación.

Paso 3: Mitigación de Riesgos

En la etapa de mitigación, las empresas deben implementar controles internos adaptados a los riesgos identificados. Esto puede incluir:

  • Procedimientos de Debida Diligencia del Cliente (DDC) mejorada para clientes de alto riesgo.
  • Monitoreo transaccional continuo para detectar operaciones inusuales o preocupantes.
  • Capacitación específica para el personal en la identificación y reporte de actividades sospechosas.

Paso 4: Documentación y Revisión

La documentación de todo el proceso es esencial para cumplir con la fracción VII del Artículo 18. Las empresas deben mantener registros detallados de sus evaluaciones de riesgo, controles implementados y revisiones periódicas. Estos documentos deben actualizarse regularmente para reflejar cambios en el perfil de riesgo de la empresa o en la normativa vigente.

Un ejemplo concreto podría ser una compañía de criptomonedas que, debido al aumento del 55.8% en el lavado de dinero a través de activos virtuales en 2025, decide implementar un sistema automatizado de monitoreo de transacciones para detectar y reportar movimientos sospechosos al SAT.

Riesgos y consecuencias

El incumplimiento de la obligación de realizar una Evaluación Basada en Riesgos puede acarrear sanciones severas para los sujetos obligados. Según el Artículo 54 de la LFPIORPI, las multas pueden oscilar entre 200 y 65,000 veces la UMA, lo que equivale aproximadamente a entre 22,628 y 7,354,100 pesos mexicanos.

Además de las sanciones económicas, las empresas que no implementen adecuadamente una EBR se enfrentan a riesgos operativos y reputacionales. La falta de controles efectivos puede resultar en la participación inadvertida en esquemas de lavado de dinero, lo que puede llevar a investigaciones por parte de la UIF y otras autoridades, así como al bloqueo de cuentas sin orden judicial, tal como fue avalado por la Suprema Corte de Justicia de la Nación (SCJN) en abril de 2026.

Un caso documentado es el de una institución financiera que, al no contar con una EBR adecuada, facilitó operaciones ilícitas por más de 50 millones de pesos, lo que resultó en una multa y la suspensión temporal de sus operaciones.

Las implicaciones operativas del incumplimiento son significativas, ya que las empresas pueden enfrentar auditorías exhaustivas y la obligación de implementar medidas correctivas bajo la supervisión de la Autoridad de Supervisión de Actividades Vulnerables (AGACE) del SAT.

Mejores prácticas

Para cumplir eficazmente con la obligación de realizar una Evaluación Basada en Riesgos, los sujetos obligados pueden adoptar una serie de mejores prácticas que optimicen sus procesos de cumplimiento y mitigación de riesgos.

Implementación de Tecnologías Avanzadas

  • Software de Compliance: Herramientas como Artu ofrecen módulos específicos para la EBR, permitiendo a las empresas automatizar la evaluación y gestión de riesgos de manera eficiente. Artu, por ejemplo, integra inteligencia artificial generativa para cumplimiento automatizado, facilitando la identificación y mitigación de riesgos en tiempo real.

Desarrollo de una Matriz de Riesgo Efectiva

  • Ponderación de Factores: Desarrollar una matriz de riesgo que incluya la ponderación de factores críticos como el tipo de cliente, producto, transacción y geografía.

Capacitación Continua

  • Programas de Capacitación: Implementar programas de capacitación anual para todo el personal, enfocados en la identificación de riesgos y las mejores prácticas de reporte.

Auditorías Internas y Externas

  • Revisión Periódica: Realizar auditorías internas y externas para asegurar que las prácticas de EBR se mantengan actualizadas y efectivas, conforme al Artículo 18 fracción XI.

Tabla comparativa de obligaciones antes y después de la reforma

Obligación Antes de Reforma 2025 Después de Reforma 2025
Evaluación Basada en Riesgos No requerida Requerida (Art. 18 fracción VII)
Manual de Políticas Internas Requerido Requerido (Art. 18 fracción VIII)
Capacitación Anual No especificada Requerida (Art. 18 fracción IX)
Monitoreo Automatizado No especificado Requerido (Art. 18 fracción X)
Auditoría PLD Requerido pero no especificado Específico (Art. 18 fracción XI)

Conclusión estratégica

La implementación de una Evaluación Basada en Riesgos no solo es una obligación regulatoria, sino también una oportunidad para que las empresas fortalezcan sus controles internos y protejan su integridad operativa. Al adoptar una EBR robusta, las organizaciones pueden no solo evitar sanciones, sino también construir una defensa sólida contra el lavado de dinero y el financiamiento al terrorismo.

Para lograr un cumplimiento efectivo, se recomienda a los sujetos obligados que integren soluciones tecnológicas avanzadas como Artu, que faciliten la automatización y gestión de riesgos de manera eficiente. Esto no solo optimiza los procesos internos, sino que también proporciona un marco auditable que puede resistir el escrutinio regulatorio.

Es esencial que las empresas adopten un enfoque proactivo y continuo en su evaluación de riesgos, asegurando que las políticas y procedimientos se actualicen regularmente para abordar el cambiante panorama de amenazas y cumplir con las expectativas regulatorias.

FAQ

¿Debo actualizar mi matriz de riesgo cada vez que incorporo un producto nuevo?

Sí, es altamente recomendable actualizar la matriz de riesgo cada vez que se introduce un nuevo producto o servicio. La incorporación de nuevos productos puede alterar significativamente el perfil de riesgo de la organización, y no adaptarse a estos cambios podría resultar en deficiencias en la gestión de riesgos. La actualización regular garantiza que la empresa mantenga una visión precisa de sus riesgos y pueda implementar controles adecuados de manera oportuna.

¿La EBR documentada sustituye al Manual de Políticas Internas o son documentos separados?

No, la EBR documentada y el Manual de Políticas Internas son documentos separados, aunque interrelacionados. La EBR proporciona una evaluación específica de los riesgos y las medidas de mitigación, mientras que el Manual de Políticas Internas describe las políticas y procedimientos generales de la organización para el cumplimiento de PLD/FT. Juntos, ambos documentos forman un marco integral de cumplimiento.

¿Cómo determina la autoridad el monto de las sanciones por incumplimiento de la EBR?

La autoridad determina el monto de las sanciones basándose en la gravedad del incumplimiento, el grado de negligencia, el impacto en el sistema financiero y el historial de cumplimiento previo de la entidad. Las sanciones pueden variar de 200 a 65,000 veces la UMA, según el Artículo 54 de la LFPIORPI, lo cual se traduce en multas que oscilan entre 22,628 y 7,354,100 pesos mexicanos.

¿Qué papel juega la capacitación del personal en la EBR?

La capacitación del personal es un componente crucial de la EBR, ya que asegura que todos los empleados estén al tanto de los riesgos potenciales y las medidas de mitigación implementadas. La fracción IX del Artículo 18 exige programas de capacitación anual que capaciten al personal en la identificación y reporte de actividades sospechosas, fortaleciendo así la cultura de cumplimiento dentro de la organización.

¿Qué herramientas tecnológicas pueden facilitar la implementación de una EBR?

Herramientas como Artu facilitan la implementación de una EBR al proporcionar módulos específicos para la evaluación y gestión de riesgos. Con su capacidad de automatización y el uso de inteligencia artificial generativa, Artu permite a las organizaciones monitorizar y analizar transacciones en tiempo real, simplificando el cumplimiento y asegurando que las empresas puedan responder rápidamente a las amenazas emergentes.

Simplifica tu cumplimiento PLD con Artu

Artu ayuda a sujetos obligados en México a automatizar cada obligación del Art. 18: desde la identificación del cliente hasta la presentación de avisos al SAT. Modular, auditable y con implementación en 4 semanas.

Conoce Artu →