En materia de prevención de lavado de dinero, no todas las operaciones, clientes o actividades representan el mismo nivel de exposición. Por eso, actualmente las instituciones financieras y quienes realizan actividades vulnerables necesitan ir más allá de cumplir una lista de requisitos: deben conocer sus riesgos, evaluarlos y establecer controles proporcionales.
Aquí es donde adquiere especial importancia el enfoque basado en el riesgo, conocido también como Enfoque Basado en Riesgos (EBR).
En México, este concepto tiene especial relevancia para la prevención de lavado de dinero y financiamiento al terrorismo (PLD/FT). Además, durante 2026 se fortaleció el marco aplicable a las Actividades Vulnerables mediante nuevas Reglas de Carácter General de la LFPIORPI, en las que el EBR se incorporó como principio rector del cumplimiento para estos sujetos obligados.
Pero ¿qué significa realmente trabajar bajo un enfoque basado en el riesgo?, ¿cómo se aplica en una institución financiera?, ¿qué ocurre con las empresas que realizan Actividades Vulnerables?, ¿y qué elementos debe considerar una metodología de evaluación?
En esta guía encontrarás las respuestas.
¿Qué es el enfoque basado en el riesgo?
El enfoque basado en el riesgo es una metodología que permite identificar, analizar, valorar y gestionar los riesgos de una organización de acuerdo con sus características y nivel de exposición.
En materia de PLD/FT, significa que una organización no debe aplicar exactamente las mismas medidas a todos sus clientes, operaciones o productos sin considerar sus circunstancias particulares.
La lógica es sencilla: a mayor riesgo identificado, mayores deben ser las medidas de prevención, monitoreo y control.
Esto no significa que los riesgos bajos puedan ignorarse. Significa que los recursos disponibles deben utilizarse de manera proporcional e inteligente, dando mayor atención a aquellos factores que pueden representar una exposición más significativa.
La CNBV ha señalado que una metodología de evaluación de riesgos debe permitir la identificación, medición y mitigación de los riesgos, así como comprender el nivel de riesgo para aplicar procesos de gestión adecuados a las características propias de cada sujeto supervisado.
¿Por qué es importante el EBR en México?
El lavado de dinero puede utilizar diferentes sectores, productos, servicios y estructuras para intentar introducir recursos de procedencia ilícita a la economía formal.
Por ello, el sistema mexicano de prevención contempla obligaciones específicas para instituciones financieras y para quienes realizan determinadas actividades económicas consideradas vulnerables.
El objetivo no es solamente detectar una operación sospechosa después de que ocurre. También se busca establecer mecanismos que permitan identificar previamente factores de riesgo y establecer controles adecuados.
La CNBV explica que el régimen nacional de PLD/FT busca proteger al sistema financiero y a la economía nacional frente a operaciones con recursos de procedencia ilícita y otros delitos relacionados.
Además, el SAT señala que las Actividades Vulnerables son actividades económicas lícitas que, por su naturaleza, pueden ser utilizadas para realizar operaciones con recursos de procedencia ilícita.
Por esta razón, el enfoque basado en el riesgo se convierte en una herramienta para pasar de un cumplimiento meramente documental a una gestión preventiva.
EBR y cumplimiento: ¿son lo mismo?
No exactamente.
El cumplimiento normativo consiste en atender las obligaciones establecidas por las disposiciones aplicables. El enfoque basado en el riesgo ayuda a determinar cómo deben organizarse y priorizarse determinadas medidas de prevención de acuerdo con los riesgos identificados.
Por ejemplo, una empresa puede tener procedimientos para identificar a sus clientes. Sin embargo, bajo una verdadera metodología basada en riesgos, también debería preguntarse:
- ¿Qué tipo de clientes representan mayor exposición?
- ¿Qué productos o servicios podrían utilizarse para lavar dinero?
- ¿Existen operaciones inusuales respecto del perfil del cliente?
- ¿Qué canales de operación presentan mayor vulnerabilidad?
- ¿La ubicación geográfica representa algún factor adicional?
- ¿Quién es el beneficiario controlador?
- ¿Existen Personas Políticamente Expuestas?
- ¿Los controles actuales son suficientes para mitigar los riesgos detectados?
El EBR permite que estas preguntas formen parte de un sistema estructurado de gestión.
¿Cómo funciona el enfoque basado en el riesgo?
Aunque la metodología concreta debe adaptarse a las características de cada organización y al marco regulatorio que le corresponda, generalmente puede entenderse mediante varias etapas.
1. Identificación de riesgos
El primer paso consiste en conocer cuáles son los riesgos a los que está expuesta la organización.
No se puede gestionar correctamente un riesgo que no ha sido identificado.
En materia de PLD/FT pueden analizarse factores relacionados con:
- Clientes o usuarios.
- Productos y servicios.
- Operaciones.
- Canales de distribución o prestación.
- Zonas geográficas.
- Beneficiarios controladores.
- Personas Políticamente Expuestas.
- Características particulares de las operaciones.
- Estructuras corporativas.
- Uso de nuevas tecnologías.
Para las Actividades Vulnerables, las nuevas Reglas de Carácter General publicadas en 2026 establecen que los sujetos obligados deberán identificar, evaluar, clasificar y documentar los riesgos asociados, entre otros elementos, con clientes o usuarios, operaciones, productos, servicios, canales y zonas geográficas.
2. Evaluación y medición
Una vez identificados los riesgos, es necesario determinar su nivel.
La evaluación puede considerar factores como la probabilidad de que ocurra un evento y el impacto que tendría para la organización.
Por ejemplo, no representa necesariamente el mismo riesgo una operación habitual, de bajo monto y consistente con el perfil conocido de un cliente que una operación compleja, inusual o difícil de justificar.
La metodología debe permitir que la organización clasifique sus riesgos de manera consistente y documentada.
La CNBV establece que la metodología de evaluación de riesgos de los sujetos supervisados debe permitir identificar su nivel de riesgo en materia de PLD/FT y utilizar esa información para aplicar procesos adecuados a sus características.
3. Clasificación
Después de evaluar los factores identificados, pueden establecerse diferentes niveles de riesgo.
Por ejemplo:
- Riesgo bajo:
Presenta características que, de acuerdo con la metodología, generan una exposición limitada. - Riesgo medio:
Existen determinados factores que requieren controles adicionales o mayor seguimiento. - Riesgo alto:
Se identifican factores que incrementan significativamente la exposición y justifican medidas reforzadas.
Es importante señalar que estas categorías deben estar sustentadas en una metodología previamente definida y no utilizarse de manera arbitraria.
4. Mitigación
Identificar un riesgo no es suficiente.
La organización debe establecer medidas para reducirlo o controlarlo.
Dependiendo del sector y del nivel de riesgo, pueden incluirse controles como:
- Debida diligencia.
- Conocimiento del cliente o usuario.
- Identificación y verificación de identidad.
- Identificación del beneficiario controlador.
- Actualización de expedientes.
- Monitoreo de operaciones.
- Análisis de alertas.
- Capacitación del personal.
- Controles internos.
- Auditorías.
- Conservación de información.
- Revisión de operaciones inusuales.
- Reportes y avisos correspondientes.
El objetivo es que los controles respondan a los riesgos reales de la organización y no sean simplemente procedimientos aislados.
¿Cómo se aplica el enfoque basado en el riesgo en instituciones financieras?
Las instituciones financieras mexicanas se encuentran sujetas a un marco regulatorio especializado y a la supervisión de las autoridades correspondientes.
La CNBV supervisa distintos sectores del sistema financiero y, dependiendo del tipo de entidad, puede ejercer una supervisión integral o enfocada específicamente en materia de PLD/FT.
En este contexto, el enfoque basado en el riesgo debe integrarse a los sistemas de prevención y control de las instituciones.
Conocimiento del cliente
Uno de los componentes esenciales consiste en conocer adecuadamente a los clientes.
No basta con obtener información al inicio de una relación comercial. El riesgo puede cambiar con el tiempo.
Por ello, el análisis debe considerar aspectos como:
- Actividad económica.
- Perfil transaccional.
- Origen y destino de los recursos.
- Productos contratados.
- Operaciones realizadas.
- Países o regiones relacionadas.
- Estructuras corporativas.
- Beneficiario controlador.
- Cambios relevantes en el comportamiento.
Monitoreo de operaciones
El monitoreo permite identificar operaciones que pueden apartarse del comportamiento esperado.
Una alerta no significa automáticamente que exista lavado de dinero. Es un indicador que requiere análisis y, cuando corresponda, investigación conforme a los procedimientos internos y disposiciones aplicables.
Aquí el EBR resulta especialmente útil porque permite establecer parámetros de monitoreo relacionados con los diferentes niveles de exposición.
Medidas reforzadas
Cuando una relación comercial presenta factores de riesgo elevados, pueden requerirse medidas reforzadas conforme al marco aplicable.
La finalidad es aumentar el nivel de conocimiento y control sobre aquellos casos que presentan una exposición mayor.
De esta manera, los recursos de cumplimiento pueden concentrarse en los escenarios que requieren mayor atención.
Enfoque basado en el riesgo en Actividades Vulnerables
El EBR también tiene una importancia creciente para quienes realizan Actividades Vulnerables previstas en la LFPIORPI.
El artículo 17 de esta ley contempla diversas actividades, entre ellas determinadas operaciones relacionadas con juegos con apuesta, tarjetas, préstamos o garantías, construcción y desarrollo inmobiliario, metales y piedras preciosas, obras de arte, vehículos, blindaje, traslado de valores, determinados servicios profesionales, servicios de fe pública, donativos, comercio exterior, derechos personales de uso o goce de inmuebles y activos virtuales.
Quienes realizan estas actividades deben cumplir las obligaciones que correspondan de acuerdo con la legislación aplicable.
Entre ellas se encuentran el alta y registro, identificación de clientes o usuarios y presentación de avisos o informes cuando corresponda.
¿Qué cambia con un enfoque basado en el riesgo?
El cambio fundamental está en que la organización debe conocer mejor dónde están sus principales exposiciones.
Imaginemos una empresa que realiza una Actividad Vulnerable.
No debería limitarse a conservar documentos de sus clientes. También necesita preguntarse si existen determinadas características que aumenten el riesgo de sus operaciones.
Por ejemplo:
- Clientes con estructuras corporativas complejas.
- Operaciones de características inusuales.
- Uso de diferentes intermediarios.
- Operaciones relacionadas con distintas jurisdicciones.
- Operaciones que no corresponden con el perfil conocido del cliente.
- Dificultades para identificar al beneficiario controlador.
- Operaciones particularmente complejas.
- Uso de determinados canales o mecanismos de pago.
La importancia de estos factores dependerá de la actividad concreta y de la metodología implementada.
Las nuevas Reglas de Carácter General de 2026
Este tema adquiere especial importancia en México debido a los cambios regulatorios recientes.
El 10 de agosto de 2026, la Secretaría de Hacienda y Crédito Público informó sobre la publicación en el Diario Oficial de la Federación de nuevas Reglas de Carácter General de la LFPIORPI, derivadas de las reformas a la Ley y su Reglamento publicadas en 2025 y 2026.
Entre los cambios señalados por la SHCP destaca la incorporación del Enfoque Basado en Riesgo como principio rector para el cumplimiento de las obligaciones previstas en la LFPIORPI.
De acuerdo con la información oficial, quienes realizan Actividades Vulnerables deberán identificar, evaluar, clasificar y documentar riesgos asociados con aspectos como clientes o usuarios, operaciones, productos, servicios, canales y zonas geográficas.
Esto representa un punto relevante para las empresas, porque el cumplimiento requiere una visión más estructurada de la gestión de riesgos.
El beneficiario controlador cobra mayor importancia
Conocer quién está detrás de una persona moral o estructura corporativa es una pieza importante de la prevención.
Por ello, la identificación del beneficiario controlador debe formar parte de los procesos de conocimiento y evaluación correspondientes.
Las nuevas reglas también fortalecen, de acuerdo con la SHCP, las medidas relacionadas con el conocimiento del cliente o usuario, la identificación del beneficiario controlador y las Personas Políticamente Expuestas.
El EBR también alcanza a los controles internos
Una metodología de riesgos no debería vivir en un documento aislado.
Debe relacionarse con los procedimientos internos de la organización.
Esto significa que los resultados de la evaluación pueden ayudar a determinar:
- Qué clientes requieren mayor atención.
- Qué operaciones deben monitorearse.
- Qué controles necesitan fortalecerse.
- Qué información debe actualizarse.
- Qué personal requiere capacitación.
- Qué procesos deben auditarse.
- Qué riesgos necesitan seguimiento periódico.
La SHCP también señala que las nuevas reglas fortalecen los mecanismos de control interno y conservación de información.
¿Qué elementos debe tener una metodología de evaluación de riesgos?
No existe una única metodología que funcione de la misma manera para todas las empresas.
Una institución financiera y una empresa que realiza una Actividad Vulnerable pueden tener características, operaciones y exposiciones completamente diferentes.
Sin embargo, una metodología sólida debería permitir, como mínimo:
- Identificar: Determinar los factores de riesgo relevantes para la organización.
- Analizar: Comprender cómo esos factores pueden incrementar la exposición al lavado de dinero o financiamiento al terrorismo.
- Medir: Asignar criterios consistentes para determinar el nivel de riesgo.
- Clasificar: Establecer categorías que permitan distinguir diferentes niveles de exposición.
- Mitigar: Definir controles y medidas proporcionales al nivel de riesgo.
- Documentar: Conservar evidencia de la metodología, resultados, decisiones y controles aplicados.
- Actualizar: Revisar la evaluación cuando existan cambios relevantes en la operación, regulación, productos, clientes, tecnología o contexto de riesgo.
Errores comunes al implementar un EBR
Adoptar el concepto de enfoque basado en el riesgo no significa automáticamente tener una metodología efectiva.
Algunos errores frecuentes son:
- Hacer una metodología genérica: Copiar una metodología de otra empresa sin adaptarla a las características reales del negocio puede generar resultados poco útiles.
- Evaluar el riesgo una sola vez: Los riesgos cambian. Por eso, la metodología debe contemplar mecanismos para su revisión y actualización.
- Confundir riesgo con sospecha: Tener un nivel de riesgo determinado no significa que un cliente esté involucrado en una actividad ilícita. El riesgo es una herramienta de prevención y gestión; cualquier análisis sobre operaciones concretas debe realizarse conforme a los procedimientos y disposiciones aplicables.
- Crear controles que no corresponden al riesgo: Un exceso de controles que no atienden riesgos reales puede consumir recursos sin aportar necesariamente mayor eficacia.
- No documentar las decisiones: La documentación permite demostrar cómo se identificaron, evaluaron y gestionaron los riesgos.
- Dejar fuera al gobierno corporativo: El EBR no debería ser responsabilidad exclusiva del área de cumplimiento. La alta dirección y los órganos de gobierno deben conocer los riesgos relevantes y promover una cultura de prevención.
¿Cómo implementar un enfoque basado en el riesgo?
Una implementación ordenada puede comenzar con los siguientes pasos:
1. Conocer el marco regulatorio aplicable.
Determina si la organización está sujeta a la LFPIORPI, disposiciones de carácter general u otras obligaciones específicas.
2. Identificar las actividades y procesos relevantes.
Haz un mapa de clientes, productos, servicios, operaciones, canales y zonas geográficas.
3. Identificar los factores de riesgo.
Determina cuáles pueden incrementar la exposición de la organización.
4. Diseñar una metodología.
Establece criterios claros para evaluar y clasificar los riesgos.
5. Determinar controles.
Define medidas preventivas y de mitigación proporcionales.
6. Documentar resultados.
Conserva evidencia de la evaluación y de las medidas implementadas.
7. Capacitar al personal.
Las personas que participan en procesos relacionados con PLD deben conocer sus responsabilidades.
8. Monitorear y revisar.
Una metodología de riesgos debe mantenerse actualizada.
9. Auditar.
Las revisiones independientes pueden ayudar a detectar deficiencias y oportunidades de mejora.
La importancia de la auditoría en el enfoque basado en el riesgo
Una auditoría puede ayudar a determinar si el modelo diseñado realmente funciona en la práctica.
No es lo mismo tener un manual que demostrar que los procedimientos se aplican correctamente.
Una revisión puede analizar, entre otros aspectos:
- Metodología de evaluación de riesgos.
- Expedientes de clientes o usuarios.
- Identificación del beneficiario controlador.
- Clasificación de riesgos.
- Monitoreo.
- Alertas.
- Controles internos.
- Capacitación.
- Conservación de información.
- Presentación de avisos.
- Evidencia documental.
- Actualización de procedimientos.
En este sentido, la auditoría puede convertirse en una herramienta preventiva para identificar áreas de oportunidad antes de que se conviertan en problemas mayores.
EBR: una herramienta para tomar mejores decisiones de cumplimiento
El enfoque basado en el riesgo no debe entenderse únicamente como una nueva obligación o como un requisito documental.
Bien implementado, puede convertirse en una herramienta de gestión.
Permite conocer dónde están las principales vulnerabilidades de una organización, priorizar recursos, fortalecer controles y establecer procedimientos acordes con las características reales del negocio.
Además, el propio SAT mantiene materiales de orientación sobre Actividades Vulnerables y pone a disposición guías relacionadas con el enfoque basado en riesgos para distintos sectores, incluyendo profesionales legales, contadores, fideicomisos, prestadores de servicios para empresas y activos virtuales.
En 2026, el SAT también informó que ha reforzado sus acciones de capacitación y orientación para diversos sectores sujetos a las obligaciones de la LFPIORPI.
Por ello, mantenerse actualizado y revisar periódicamente los sistemas internos de prevención resulta fundamental.
Conclusión: convertir el riesgo en una oportunidad de prevención
El enfoque basado en el riesgo permite que las instituciones financieras y las empresas que realizan Actividades Vulnerables tengan una visión más estratégica de sus obligaciones en materia de prevención de lavado de dinero.
No se trata simplemente de llenar formatos o conservar documentos. Se trata de identificar riesgos, entenderlos, clasificarlos, establecer controles, documentar las decisiones y mantener actualizado el sistema de prevención.
En México, la evolución del marco de PLD/FT y las nuevas Reglas de Carácter General de la LFPIORPI publicadas en 2026 hacen especialmente importante revisar las metodologías y controles utilizados por las organizaciones.
Si tu empresa necesita fortalecer sus procesos de prevención, evaluar sus riesgos o revisar sus controles de PLD/AML, Forensic Traces & Risk Advisors cuenta con amplia experiencia en auditoría forense, gestión integral de riesgos, prevención de lavado de activos y prevención de lavado de dinero (AML/PLD), así como fortalecimiento del gobierno corporativo.
Conoce sus servicios y solicita asesoría especializada para identificar áreas de oportunidad y fortalecer la gestión de riesgos de tu organización.
Contáctalos y conoce cómo pueden ayudarte a desarrollar o fortalecer una estrategia de prevención acorde con las características y necesidades de tu organización.
Preguntas frecuentes sobre el enfoque basado en el riesgo
1. ¿Qué es el enfoque basado en el riesgo?
Es una metodología que permite identificar, evaluar, clasificar y gestionar los riesgos de una organización, aplicando medidas de prevención y control proporcionales al nivel de exposición identificado.
2. ¿El enfoque basado en el riesgo aplica a las Actividades Vulnerables?
Sí. El marco mexicano de la LFPIORPI contempla obligaciones para quienes realizan Actividades Vulnerables y, con las nuevas Reglas de Carácter General publicadas en 2026, el EBR se incorporó como principio rector del cumplimiento aplicable a estos sujetos obligados.
3. ¿Una metodología de riesgos debe actualizarse?
Sí. Una metodología debe revisarse periódicamente y actualizarse cuando cambien factores relevantes, como la regulación, productos o servicios, clientes, canales, operaciones, tecnología o el perfil de riesgo de la organización.