Enfoque basado en riesgos: La brújula del sistema antilavado

Derecho para empresarios, y…algo más. Por Dr. Joaquín Mendoza Esquivel y Mtro. Joaquín de Jesús Mendoza Talavera Para nuestros amigos empresarios, exponemos algunas líneas directivas con la finalidad de apoyarles para que el desarrollo de sus actividades esté conforme con la cultura de la legalidad y el cumplimiento de sus obligaciones jurídicas; así, asuman el segmento que les corresponde en los esfuerzos realizados por el Estado mexicano en favor del sistema financiero y la economía. En esta ocasión se trata del tema del Enfoque Basado en Riesgos (EBR).

            En un ambiente en el cual el crimen financiero se globaliza y sofistica, superando incluso los límites de la imaginación, los enfoques tradicionales de supervisión —rígidos y uniformes— muestran graves limitaciones.

            En la “Guidance on Risk-Based Supervision” (2021) del Grupo de Acción Financiera Internacional (GAFI) se propone un cambio de paradigma: básicamente, Enfoque Basado en Riesgos (EBR), que no es una opción, es la piedra angular y legalmente obligatorio para proteger la integridad del sistema financiero y de la economía.

            En el Diario Oficial de la Federación del 16 de julio de 2025, se publicó el Decreto de reformas y adiciones a diversas disposiciones de la Ley Federal para la Prevención e Identificación Operaciones con Recursos de Procedencia Ilícita. De ellas, nos interesa resalta la obligación que el artículo 18 en la fracción VII impone a quienes realizan actividades vulnerables: efectuar una evaluación con Enfoque Basado en Riesgos, en los términos a señalar por la Secretaría; esa evaluación y Enfoque, les debe permitir identificar, analizar, entender y mitigar sus Riesgos, así como los de las personas Clientes y Usuarias.

            Algunos datos a considerar para la atención de está insoslayable obligación. El EBR, prioriza medidas donde las amenazas son mayores, adaptándose dinámicamente a nuevos riesgos de lavado de activos, de tal suerte que, si la empresa no lo realiza de manera correcta y adecuada, su sistema tendrá carencias, y se reflejarán en las auditorías.

¿Por qué el EBR es esencial y piedra de toque?

Los mecanismos de los órganos del Estado están jurídicamente delimitados; los riesgos son amplísimos, resalta entonces, no solo como obligación de las empresas; también como principio de colaboración para con Estado mexicano, y por el cuidado reputacional de la empresa, el elaborar y cumplir en forma correcta con el EBR para evitar que activos ilícitos entren al sistema financiero y a la economía. 

            Según el GAFI, -del que México forma parte desde el 2000-, su esencia radica en: 

1. Eficacia preventiva: Es mejor evitar el lavado de activos, que perseguirlo. 

2. Asignación inteligente: Concentra esfuerzos en sectores/entidades de alto riesgo (ej. Sector inmobiliario). 

3. Flexibilidad proporcional: No sobrecarga a las entidades con trámites y exigencias, y si fomenta la inclusión. Esto quiere decir que permite a las empresas elaborar su sistema de prevención bajo una guía que debe estar documentada en un manual.

Los Tres Pilares del EBR:

1. Comprensión del Riesgo: El cual debe quedar documentado, para ello, se sugiere un mapa de calor o una matriz de riesgos y su respaldo.

Entonces, los encargados deben desarrollar evaluaciones de riesgo, y analicen:

- Riesgo inherente: Amenazas intrínsecas a un sector/entidad, antes de elaborar controles (ej. Activos virtuales por su velocidad transaccional; pagos en efectivo que impiden rastreo del dinero). 

- Esfuerzos de mitigación: Calidad de los controles PLD/FT (Prevención de Lavado de Dinero y Financiamiento del Terrorismo), a través de Debida Diligencia del Cliente (DDC), monitoreo transaccional automatizado, su seguimiento y gobierno corporativo. 

- Riesgo residual: Riesgo remanente a la aplicación de los controles. Una entidad con alto riesgo inherente pero controles sólidos puede tener bajo riesgo residual.

Ejemplo práctico: La Autoridad Monetaria de Singapur (MAS) usa “data analytics” para calificar riesgos de entidades financieras. Cruza datos transaccionales con redes de sujetos en reportes sospechosos (STRs), identificando patrones de riesgo invisibles a simple vista.

2. Estrategia Supervisora: De la Teoría a la Acción.

Un EBR exige planes dinámicos que ajusten: 

- Frecuencia e intensidad: Entidades de "riesgo ultra-alto" necesitan auditorías internas frecuentes y, en caso de actividades sospechosas, auditorías externas de riguroso detalle.

- Herramientas: Combinan off-site (cuestionarios al cliente y al personal, capacitación, análisis de datos) y on-site (inspecciones profundas, reforzadas, ante actividades irregulares o sospechosas). La tecnología de supervisión (*SupTech*) es clave para escalar eficiencia.

- Enfoque: Revisiones temáticas, sobre revisiones genéricas. Esto quiere decir que en ocasiones deberá reforzarse la revisión a determinados procesos, como pueden ser los de ventas, el precontractual, o en caso de que alguien quiera realizar una transacción con activos virtuales.

Caso UE (Unión Europea): Los “colegios AML/CFT” (en México es PLD/FT) reúnen a supervisores de múltiples países para vigilar entidades transfronterizas, compartiendo análisis de riesgos y coordinando acciones. Esta situación es deseable, pues en México existen Asociaciones de Cumplimiento, con las que vale la pena acercarse para coordinación. 

3. Cooperación: Comunicación al interior de la organización o empresa y con las autoridades.

            El EBR puede quedar incumplido, ante la falta de coordinación:

- Doméstica: Encargados de cumplimiento, gobierno corporativo y UIF deben estar en comunicación.

- Internacional: Grupos que realizan pagos y operaciones con activos virtuales, actúan en todo el mundo. El GAFI urge colegios de supervisores tipo UE en los diversos países y bloques geográficos.

Desafíos Críticos y cómo enfrentarlos.

            Las evaluaciones mutuas del GAFI revelan tres fallas recurrentes: 

1. Descuido en el EBR: Las empresas no realizan un debido EBR, por lo que el sistema PLD/FT, presenta carencias llevando a priorizaciones erróneas en la identificación y aviso de operaciones.

Solución: Capacitación constante del Encargado de Cumplimiento para un EBR bien elaborado y documentado o contar con un área enfocada a riesgos dentro de las empresas, lo cual dependerá del tamaño de la organización. Actualizar periódicamente el EBR.

2. Falta de Recursos/Experiencia: en diversas ocasiones, se ha detectado que los Encargados de Cumplimiento no están capacitados en los estándares, pese a la designación por parte de las empresas, ello se refleja en el sistema PLD/FT; asimismo, las empresas no destinan recursos económicos suficientes para la contratación y remuneración de los Encargados de Cumplimiento, designan esta importante labor en otras áreas.

Solución: Destinar recursos a una implementación profesional del sistema por una persona especializada en esa labor; además, capacitar a quien vaya a ser designado como Encargado de Cumplimiento, o contratar a un Encargado de Cumplimiento que cuente con la formación adecuada en los estándares. 

3. Enfoque “Tolerancia Cero”: Sancionar fallas menores en áreas de bajo riesgo mitiga amenazas mayores. Lo contrario es posible, por no atender riesgos menores, da cabida a operaciones sospechosas o de alto riesgo.

Solución: Capacitar al personal en operaciones sospechosas e inusuales, para darles prioridad, sin descuidar las ordinarias.

Lección de Irlanda: Al asumir la supervisión, el Departamento de Justicia usó un Enfoque Escalonado: primero marco legal, luego capacitación, después evaluaciones de riesgo sectorial, y finalmente inspecciones/auditorías. 

El Futuro: SupTech y Riesgos Emergentes.

La tecnología transforma el EBR y el sistema PLD/FT:

- Herramientas. Plataformas que califican riesgos de clientes en tiempo real, y que pueden usar blockchain e Inteligencia Artificial.

- Retos éticos: Cuidar la reputación empresarial, así, tomar en cuenta los riesgos menores para atenderlos y evitar los mayores, cumplir en tiempo y forma con el sistema PLD/FT.Conclusión: Ir más ás Allá del Checklist.

El EBR es la base de un sistema PLD/FT, no es estático, requiere de una cultura dinámica y comprometida.

Exige: 

- Compromiso para asignar recursos. Como señalamos, es mejor invertir en  prevenir que ser sancionado por no impedir el Lavado de activos.

- Agilidad para identificar y responder a operaciones inusuales o sospechosas.

- Colaboración transjurisdiccional, vital en economías digitalizadas.

Como resume el GAFI: “La transición de un enfoque basado en reglas a uno basado en riesgos lleva tiempo. Requiere un cambio cultural”.

En la era de la complejidad financiera, el EBR es la brújula que evita naufragar en el cumplimiento formal mientras subrepticiamente pasan las verdaderas amenazas. 

Referencias: FATF Guidance on Risk-Based Supervision (2021).