Conocer al cliente ya no basta, ahora habrá que medir su riesgo

Del expediente de identificación al conocimiento efectivo del cliente

La regulación mexicana en materia de prevención de operaciones con recursos de procedencia ilícita experimenta un cambio relevante de metodología. Para quienes realizan Actividades Vulnerables, conocer al cliente dejará de consistir primordialmente en recabar documentos, integrar expedientes y verificar identidades. El nuevo modelo exige valorar individualmente el riesgo que representa cada cliente o usuario, determinar su comportamiento transaccional esperado y vigilar que las operaciones posteriores resulten congruentes con dicho perfil.

El antecedente legislativo inmediato se encuentra en la reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) publicada el 16 de julio de 2025. Entre otras modificaciones, el artículo 18 incorporó expresamente el enfoque basado en riesgos, obligando a quienes realizan Actividades Vulnerables a efectuar una evaluación que permita identificar, analizar, entender y mitigar sus riesgos y los correspondientes a sus clientes o usuarios.

Ese mandato legal fue desarrollado mediante el Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, que modificó las Reglas de Carácter General (RCG) de la LFPIORPI e incorporó, entre otros, los capítulos II Quáter, relativo al enfoque basado en riesgos; III Bis, sobre clasificación del grado de riesgo de la persona cliente o usuaria; y III Ter, relativo a su conocimiento.

Existe, sin embargo, una precisión temporal indispensable. El Acuerdo entrará en vigor, como regla general, el 30 de noviembre de 2026; no obstante, la evaluación bajo enfoque basado en riesgos deberá estar disponible a partir del 1 de marzo de 2027, y los capítulos III Bis y III Ter deberán observarse respecto de los actos u operaciones realizados desde esa misma fecha. Por consiguiente, existe un periodo de implementación que los sujetos obligados deberían utilizar para adecuar metodologías, manuales, expedientes, sistemas y controles.

¿Cómo deberá clasificarse el riesgo de cada cliente?

El artículo 23 Bis de las RCG obliga a quienes realicen Actividades Vulnerables a contar con un modelo de evaluación de riesgos que sea congruente con la metodología general prevista en el Capítulo II Quáter y que, además, se encuentre establecido dentro de su Manual de Políticas Internas.

El modelo deberá asignar individualmente un grado de riesgo a cada persona cliente o usuaria. El artículo 23 Bis de las RCG exige, como mínimo, tres categorías: riesgo bajo, medio y alto, aunque permite establecer niveles intermedios cuando la naturaleza, dimensión y características de la actividad así lo justifiquen.  

Esta disposición modifica sustancialmente la lógica tradicional de cumplimiento. Ya no bastará establecer, por ejemplo, que determinado tipo de operación es genéricamente riesgoso. El sujeto obligado deberá ser capaz de justificar por qué una persona determinada fue clasificada en cierto nivel, cuáles fueron los factores considerados y cómo se relaciona esa clasificación con la metodología institucional.

La consecuencia jurídica es importante: la matriz de riesgo no debe concebirse como un formato ornamental incorporado al manual para satisfacer una exigencia documental. Deberá existir congruencia entre la información del expediente, el perfil transaccional, las operaciones efectivamente realizadas, las alertas generadas y el grado de riesgo finalmente asignado.

La clasificación deberá revisarse periódicamente

El riesgo tampoco será una característica estática, conforme al artículo 23 Bis 1, la clasificación inicial deberá determinarse considerando la información proporcionada por el propio cliente o usuario. Posteriormente, el sujeto obligado deberá reevaluar el grado de riesgo cuando menos cada seis meses.

La regla incorpora además un criterio proporcional: mientras mayor sea el grado de riesgo, mayor deberá ser la frecuencia de evaluación,  de acuerdo con el artículo 23 Bis 1, RCG.

En términos prácticos, una empresa no podría defender adecuadamente su modelo afirmando que clasificó a determinado cliente como de alto riesgo varios años atrás y que desde entonces no volvió a analizarlo. La regulación impone un sistema dinámico, porque parte de una premisa razonable: el riesgo cambia cuando cambian las circunstancias de la persona, sus actividades, sus contrapartes o la forma en que realiza operaciones.

¿Qué factores deberán analizarse?

El artículo 23 Bis 2 divide los elementos relevantes, esencialmente, en características inherentes del cliente y características transaccionales. Dentro de las primeras pueden considerarse sus antecedentes, tipo de persona, fecha de nacimiento o constitución, giro o actividad económica, nacionalidad, residencia, fuentes de ingreso, naturaleza de la relación y finalidad de ésta.

Respecto de las características transaccionales, deberán evaluarse elementos como el tipo de operaciones, su volumen, frecuencia y monto; número de contrapartes; origen y destino de los recursos; instrumento monetario utilizado, y moneda en la que se efectúan las operaciones, conforme al artículo 23 Bis 2, RCG.

La norma, por tanto, no permite reducir la evaluación a un cuestionario genérico. Los factores deben servir para explicar cómo y en qué medida cada persona representa un riesgo para quien desarrolla la Actividad Vulnerable.

Éste será uno de los puntos más sensibles ante una eventual revisión del SAT: no bastará exhibir una calificación final. Deberá poder reconstruirse el razonamiento que condujo a ella.

El perfil transaccional se convierte en una pieza central

La clasificación inicial es apenas el comienzo. El artículo 23 Ter obliga a elaborar y observar una verdadera política de conocimiento del cliente, integrada al Manual de Políticas Internas y ajustada al grado de riesgo previamente determinado.

Esta política deberá contener controles para mitigar riesgos; mecanismos de seguimiento y monitoreo; procedimientos para conocer el perfil transaccional; supuestos para identificar operaciones que se aparten de ese comportamiento esperado; reglas para actualizar expedientes cuando existan cambios significativos, y criterios para modificar el grado de riesgo. Fundamento: artículo 23 Ter, fracciones I a V, RCG.

El artículo 23 Ter 1 profundiza esta obligación. Para construir el perfil transaccional deberán considerarse, cuando menos, la información proporcionada por el cliente, el monto, número y frecuencia de sus operaciones, así como el origen y destino de los recursos o bienes involucrados.

Además, durante los primeros seis meses deberá tomarse como referencia la estimación proporcionada por el propio cliente respecto de los montos máximos mensuales que prevé operar. Posteriormente, el perfil deberá evaluarse cuando menos cada seis meses, de conformidad con el precepto señalado en el párrafo anterior. La finalidad es evidente: comparar lo que el cliente dijo que haría con lo que efectivamente hace.

Alertas ante operaciones que no correspondan al perfil

El modelo se complementa mediante el artículo 23 Ter 2, que obliga a contar e implementar un sistema de alertas capaz de identificar oportunamente modificaciones en el comportamiento o perfil transaccional que permitan prevenir o detectar actos, operaciones u omisiones susceptibles de relacionarse con los supuestos previstos en los artículos 139 Quáter y 400 Bis del Código Penal Federal.

Esto implica que el monitoreo no puede limitarse a conocer si una operación rebasó el umbral económico para la presentación de un Aviso. Una operación puede resultar jurídicamente relevante desde la perspectiva preventiva aun cuando, considerada aisladamente, no parezca extraordinaria.

La pregunta dejará de ser únicamente cuánto operó el cliente. Deberá preguntarse también si esa operación resulta razonablemente consistente con quien el cliente afirma ser, con su actividad económica, con sus fuentes de recursos y con su comportamiento histórico.

Clientes de alto riesgo: debida diligencia reforzada

La asignación de un grado de riesgo alto produce consecuencias específicas. El artículo 23 Ter 3 exige obtener mayor información sobre la actividad preponderante de esos clientes y someter su comportamiento transaccional a una revisión y monitoreo más estrictos. Asimismo, deberán aplicarse cuestionarios destinados a obtener mayor información sobre el origen y destino de los recursos y sobre las operaciones realizadas o pretendidas.

El artículo 23 Ter 4 añade medidas reforzadas. Tratándose de personas físicas, deberá profundizarse el conocimiento sobre el origen y destino de los recursos y, cuando corresponda, obtener información sobre cónyuge, dependientes económicos y sociedades o asociaciones con vínculos patrimoniales. Respecto de personas morales deberá recabarse mayor información sobre sus principales accionistas o socios y verificar los datos mediante los registros electrónicos de la Secretaría de Economía.

Además, conforme al artículo 23 Bis 4, deberán considerarse de alto riesgo, cuando menos, determinados clientes no residentes vinculados con jurisdicciones de riesgo y las Personas Políticamente Expuestas extranjeras.

Cuando una Persona Políticamente Expuesta sea además clasificada como de alto riesgo, el artículo 23 Ter 5 exige obtener la aprobación de un directivo o equivalente para consentir las operaciones, conforme a lo establecido en el Manual de Políticas Internas.

El verdadero reto será demostrar por qué se decidió

La transformación más relevante introducida por estas disposiciones quizá no sea tecnológica, sino jurídica. El sujeto obligado tendrá que demostrar no solamente que pidió documentos o llenó formularios, sino que adoptó decisiones de cumplimiento razonadas y coherentes con el riesgo efectivamente identificado.

Esto obliga a construir una cadena documental: información del cliente, clasificación inicial, factores de riesgo, perfil transaccional, alertas, revisiones periódicas, modificación de la calificación y, cuando corresponda, medidas de debida diligencia reforzada.

En otras palabras, el expediente deja de ser una fotografía estática y se convierte en una historia documentada del riesgo del cliente. Para abogados, contadores, responsables de cumplimiento y administradores de empresas que realizan Actividades Vulnerables, la preparación debe comenzar antes de la fecha de exigibilidad. El 1 de marzo de 2027 no debería ser entendido como la fecha para comenzar a diseñar el modelo, sino como aquella en la que éste deberá encontrarse jurídicamente articulado con la operación real del negocio.

La nueva regulación parte de una premisa que modifica profundamente el cumplimiento antilavado: identificar al cliente permite saber quién es; conocerlo permite advertir cuándo su conducta deja de ser razonablemente congruente con aquello que sabemos de él.