Las nuevas exigencias metodológicas y probatorias del cumplimiento antilavado

Del cumplimiento formal a la administración demostrable del riesgo

La incorporación del Enfoque Basado en Riesgos, en adelante EBR, al régimen aplicable a quienes realizan Actividades Vulnerables modifica profundamente la manera de entender el cumplimiento en materia de prevención de operaciones con recursos de procedencia ilícita. El modelo tradicional podía concentrarse, en términos operativos, en verificar obligaciones determinadas, tales como identificar al Cliente o Usuario, integrar expedientes, acumular actos u operaciones, identificar al Beneficiario Controlador cuando correspondiera y presentar los Avisos respectivos. El nuevo esquema no sustituye estas obligaciones, pero agrega una dimensión sustantiva: el sujeto obligado debe conocer, evaluar y administrar su exposición particular al riesgo.

La fracción VII del artículo 18 de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) constituye el fundamento de esta transformación, al exigir una evaluación que permita identificar, analizar, entender y mitigar los riesgos a los que se encuentre expuesto quien realiza la Actividad Vulnerable, incluidos aquellos derivados de sus Clientes o Usuarios. Las Reglas de carácter general, particularmente los artículos 10 Septies a 10 Septies 6, desarrollan el contenido metodológico de esa obligación y convierten el EBR en una herramienta que deberá ser explicable, verificable y congruente con la operación real del negocio.

Artículo 10 Septies 1: identificar y ponderar el riesgo

El artículo 10 Septies 1 constituye uno de los núcleos metodológicos del nuevo sistema. Conforme a la regulación, deben considerarse, como mínimo, los actos u operaciones realizados, los tipos de Clientes o Usuarios, los países o áreas geográficas involucradas, así como las transacciones y los canales de envío o distribución utilizados. Estos componentes no deben entenderse como categorías meramente nominales dentro de una matriz, sino como factores que deben desagregarse en indicadores capaces de explicar cómo y en qué medida generan exposición al riesgo.

Así, la referencia genérica a “Clientes” resulta insuficiente si no se traduce en variables concretas. Pueden adquirir relevancia la residencia, la actividad económica, la estructura corporativa, la intervención de fideicomisos, la complejidad de la operación, la condición de Persona Políticamente Expuesta, la identificación del Beneficiario Controlador o la existencia de inconsistencias entre la capacidad económica y la operación realizada. El mismo razonamiento aplica al componente geográfico: no basta con identificar un país, sino que debe justificarse por qué determinada jurisdicción representa una mayor o menor exposición en el contexto específico de la Actividad Vulnerable.

Desde una perspectiva doctrinal, la metodología debe construir una secuencia lógica entre elemento de riesgo, indicador, valor, ponderación y resultado. Esa relación constituye una de las áreas más relevantes ante una posible revisión administrativa. Si el SAT analiza la metodología, resultará razonable esperar que solicite conocer por qué determinado factor recibió una calificación superior a otro, qué información sustenta la decisión y de qué manera esa ponderación se refleja en el resultado final. La ausencia de una fórmula obligatoria concede flexibilidad, pero también traslada al sujeto obligado la responsabilidad de justificar técnicamente sus decisiones.

La ponderación como decisión defendible

Uno de los aspectos más delicados del EBR consiste en que las reglas no imponen una fórmula matemática universal. Esta característica puede generar la impresión de que existe libertad absoluta para diseñar cualquier sistema de puntuación; sin embargo, la discrecionalidad metodológica debe distinguirse de la arbitrariedad. Una organización puede adoptar una escala de tres, cinco o más niveles, asignar pesos porcentuales diferentes a cada factor o desarrollar modelos estadísticos más sofisticados, siempre que sus criterios sean consistentes, explicables y reproducibles.

Si una metodología concede, por ejemplo, una ponderación del 40 por ciento al riesgo geográfico y solamente 15 por ciento a determinadas características del Cliente, deberá existir una razón que justifique esa distribución. El hecho de que la regulación no establezca porcentajes concretos no impide que la autoridad cuestione la razonabilidad del modelo. De ahí que la metodología deba documentar no solamente el resultado, sino también el razonamiento que condujo a seleccionar los valores y ponderaciones utilizados.

La consistencia es igualmente indispensable. Frente a circunstancias equivalentes, la aplicación de la metodología debería producir resultados similares. Si dos clientes con características sustancialmente idénticas reciben calificaciones muy diferentes sin una razón documentada, la metodología podría resultar difícil de defender. El EBR exige sustituir apreciaciones subjetivas del tipo “esta operación parece riesgosa” por criterios previamente definidos que permitan reconstruir cómo se llegó a determinada conclusión.

Artículo 10 Septies 2: datos históricos y trazabilidad

El artículo 10 Septies 2 incorpora una dimensión cuantitativa fundamental. La metodología deberá utilizar, como mínimo, información correspondiente a un período no menor de doce meses respecto del número de Clientes o Usuarios, número de actos u operaciones y monto operado. Para empresas de reciente creación que aún no cuenten con suficiente información histórica, la regulación permite utilizar inicialmente datos proyectados, aunque posteriormente deberá actualizarse la evaluación una vez transcurrido el período correspondiente.

Esta disposición convierte la calidad de los datos en un asunto directamente relacionado con el cumplimiento. Una metodología conceptualmente impecable puede producir resultados incorrectos si se alimenta con información incompleta, duplicada, mal clasificada o inconsistente. Por ello, el diseño del EBR necesariamente debe vincularse con mecanismos de gobierno de datos, conciliación de información, identificación de fuentes maestras, validaciones internas y conservación de bitácoras que permitan determinar qué información fue utilizada en cada evaluación.

En una eventual revisión por el SAT, el análisis podría trascender la simple existencia de la matriz y dirigirse hacia las fuentes que la alimentan. La autoridad podría requerir reconstruir cuántos clientes fueron considerados, cuál fue el universo de operaciones, qué montos se utilizaron, cómo se agruparon determinados actos y de dónde provino la información. En consecuencia, el archivo electrónico o la hoja de cálculo donde se ejecuta el modelo no constituye por sí sola la evidencia del cumplimiento; la verdadera trazabilidad comprende también los datos originales, las reglas de tratamiento y la posibilidad de reproducir los cálculos.

De los Mitigantes al riesgo residual

Los artículos subsecuentes del Capítulo II Quáter desarrollan la necesidad de administrar y mitigar los riesgos mediante políticas, criterios, medidas y procedimientos adecuados. La importancia de estas disposiciones radica en que la existencia formal de un control no equivale necesariamente a su efectividad. Un manual puede establecer procedimientos reforzados de identificación, verificaciones adicionales del Beneficiario Controlador, restricciones al uso de efectivo, monitoreo transaccional o autorizaciones directivas, pero esos mecanismos solamente podrán considerarse Mitigantes reales cuando exista evidencia de que son aplicados en la práctica.

La distinción permite introducir dos conceptos esenciales para la administración del riesgo: riesgo inherente y riesgo residual. El primero corresponde a la exposición existente antes de considerar los controles implementados; el segundo representa el nivel de riesgo que permanece después de aplicar los Mitigantes. Esta diferencia resulta especialmente relevante porque una entidad puede presentar un riesgo inherente elevado debido a su modelo de negocio y, sin embargo, administrar adecuadamente dicha exposición mediante controles robustos y efectivamente aplicados.

El elemento probatorio será determinante. No bastará afirmar que un control reduce el riesgo; será necesario acreditar por qué se considera eficaz y qué efecto concreto produce sobre los indicadores y elementos de riesgo. Desde una perspectiva de supervisión, esto implica que el sujeto obligado deberá conservar evidencia sobre la aplicación de los procedimientos, revisiones efectuadas, alertas generadas, autorizaciones otorgadas, controles reforzados y decisiones adoptadas como consecuencia del análisis.

La efectividad del Mitigante bajo revisión

La efectividad de los Mitigantes probablemente constituirá uno de los puntos de mayor interés para la autoridad. Una revisión técnicamente orientada podría cuestionar no solamente qué controles existen, sino cuántas veces se aplicaron, a qué clientes u operaciones, qué resultados produjeron y qué evidencia demuestra su funcionamiento. La diferencia entre el diseño formal y la ejecución efectiva puede convertirse, por tanto, en un área crítica de observación.

Una organización podría contar con una metodología altamente sofisticada y, al mismo tiempo, encontrarse expuesta si sus controles únicamente existen en documentos internos. Si el manual dispone que las operaciones de alto riesgo requieren una aprobación directiva, deberán existir las correspondientes autorizaciones. Si establece la verificación del origen de los recursos, deberá conservarse evidencia de dicha revisión. Si contempla alertas automatizadas, deberá poder demostrarse que éstas fueron atendidas y que generaron una decisión documentada.

El EBR adquiere así una dimensión dinámica. La metodología no termina con la identificación del riesgo, sino que debe demostrar cómo la organización responde frente a él. La autoridad, en consecuencia, podría evaluar tanto la arquitectura del modelo como la manera en que éste opera cotidianamente.

Evaluación institucional y riesgo individual del Cliente

Otro aspecto que requiere precisión técnica es la diferencia entre la evaluación del riesgo de la entidad y la clasificación individual del Cliente o Usuario. Ambos procesos se relacionan, pero no pueden confundirse. La evaluación institucional considera la exposición agregada derivada del modelo de negocio, tipos de clientes, zonas geográficas, operaciones, productos, servicios, canales y controles. La evaluación individual, en cambio, determina el Grado de Riesgo particular de cada Cliente o Usuario.

La congruencia entre ambos modelos resulta indispensable. Si la evaluación institucional determina que cierto segmento de clientes representa una exposición elevada, sería difícil justificar que todos los integrantes de ese segmento fueran clasificados individualmente como de bajo riesgo sin criterios adicionales que expliquen esa diferencia. Por ello, el puente metodológico entre ambas evaluaciones deberá formar parte del diseño del sistema y quedar suficientemente documentado.

Esta relación constituye también un posible punto de revisión por el SAT. La autoridad podría analizar si las conclusiones institucionales se reflejan adecuadamente en la clasificación de clientes, en las medidas de debida diligencia y en la intensidad de los controles aplicados. La incoherencia entre los diferentes componentes del sistema podría revelar que la metodología funciona solamente como un documento aislado y no como una verdadera herramienta de administración de riesgos.

Nuevos productos, canales y mercados

El EBR también proyecta sus efectos hacia las decisiones futuras del negocio. Antes de implementar nuevos medios, canales, modalidades, productos o servicios, o de dirigir la Actividad Vulnerable hacia nuevos tipos de clientes, deberán evaluarse los riesgos asociados. Esta exigencia modifica sustancialmente el papel tradicional del área de cumplimiento, que deja de intervenir exclusivamente después de realizada la operación y pasa a participar en decisiones previas al lanzamiento de determinadas iniciativas.

Una inmobiliaria que pretenda utilizar un canal completamente digital, captar inversionistas de nuevas jurisdicciones o modificar sus mecanismos de pago deberá analizar previamente las consecuencias en materia de prevención de lavado de dinero. El cumplimiento, en este contexto, se integra al gobierno corporativo y a la planeación estratégica, pues determinados proyectos comerciales pueden requerir controles adicionales antes de ser implementados.

Esta previsión refuerza la idea de que el EBR debe producir consecuencias. La evaluación no puede limitarse a describir riesgos existentes; debe influir en la manera en que la empresa diseña operaciones, acepta clientes, introduce nuevos canales o modifica procesos. La congruencia entre los resultados del modelo y las decisiones empresariales será, por tanto, otro elemento susceptible de evaluación.

El nivel de tolerancia aceptable

Una de las áreas de mayor complejidad interpretativa es el denominado nivel de tolerancia aceptable. Las reglas exigen modificar políticas, procedimientos y Mitigantes cuando resulte necesario para mantener la exposición dentro de dicho nivel; sin embargo, no desarrollan de forma exhaustiva cómo debe cuantificarse, quién debe aprobarlo ni cuáles son los parámetros objetivos para determinarlo.

Esta ausencia de una fórmula obligatoria genera una responsabilidad relevante para el sujeto obligado. La empresa tendrá que decidir qué nivel de exposición está dispuesta a administrar, qué órgano corporativo debe aprobarlo, qué consecuencias produce superar determinado umbral y en qué casos será necesario escalar una operación, establecer controles reforzados o incluso limitar una relación comercial.

Desde una perspectiva de control interno, resulta recomendable que tales decisiones cuenten con una aprobación documentada y que exista una relación clara entre tolerancia, metodología y medidas de mitigación. La indefinición normativa no significa que la cuestión pueda ignorarse; significa que el sujeto obligado deberá construir un criterio propio suficientemente sólido para explicarlo frente a terceros.

La revisión y actualización del EBR

La metodología tampoco puede considerarse permanente e inmutable. Debe revisarse cuando aparezcan nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos o, como máximo, dentro de los doce meses posteriores a contar con los resultados de su implementación. Estas revisiones y actualizaciones deberán documentarse por escrito y reflejar, cuando corresponda, modificaciones en políticas, procedimientos y controles.

Este aspecto introduce un elemento temporal que puede resultar especialmente relevante en una revisión. No bastará presentar una metodología vigente; podría ser necesario acreditar cómo evolucionó, qué cambios fueron realizados, qué circunstancias los motivaron y cuál fue la respuesta institucional. Una metodología que permanezca idéntica durante años, pese a modificaciones sustanciales en operaciones, mercados o clientes, podría generar dudas sobre su verdadera utilización.

La documentación de versiones, fechas de aprobación, modificaciones de factores, cambios en ponderaciones y ajustes en Mitigantes adquiere así una función probatoria. El EBR deberá poder reconstruirse históricamente, no solamente observarse en su versión más reciente.

¿Qué podría revisar el SAT?

A partir de los artículos 10 Septies a 10 Septies 6, pueden identificarse varias dimensiones susceptibles de escrutinio. Entre ellas destacan la existencia formal de una metodología, la congruencia entre factores, indicadores y ponderaciones, la trazabilidad de la información histórica, la aplicación efectiva de los Mitigantes, la consistencia entre la evaluación institucional y la clasificación individual de clientes, así como la documentación de revisiones y actualizaciones.

La cuestión central no será únicamente determinar si existe una matriz de riesgos, sino establecer si puede explicarse. Frente a una revisión, el sujeto obligado debería estar en condiciones de responder qué riesgo identificó, por qué lo consideró relevante, qué información utilizó, cómo asignó sus valores, qué peso otorgó a cada factor, qué controles aplicó, qué impacto tuvieron esos controles y cuál fue el riesgo que permaneció posteriormente.

También podría examinarse la congruencia entre la metodología y las decisiones comerciales. Si el modelo determina que ciertas operaciones presentan un riesgo elevado, pero no existe evidencia de medidas reforzadas, autorizaciones adicionales o controles específicos, la autoridad podría cuestionar la utilidad real del sistema. El EBR debe reflejarse en la operación cotidiana y no limitarse a una construcción teórica.

Trazabilidad y defendibilidad como principios rectores

Los artículos 10 Septies a 10 Septies 6 configuran, en conjunto, un modelo en el que la trazabilidad ocupa una posición central. El sujeto obligado deberá poder reconstruir el camino que conduce desde la información original hasta la decisión final. Esta lógica convierte la metodología en una pieza central de la defensa del cumplimiento, pues será el instrumento que permita explicar por qué determinados riesgos fueron identificados, cómo fueron medidos y qué controles se adoptaron para administrarlos.

Ante una eventual observación del SAT, probablemente resultará menos sólida una respuesta limitada a señalar que “así lo establece la política interna” que aquella respaldada por factores objetivos, datos verificables, criterios consistentes, autorizaciones documentadas y evidencia de la efectividad de los controles. La sofisticación tecnológica puede facilitar el proceso, pero no sustituye la necesidad de que el modelo sea comprensible y jurídicamente explicable. Lo podemos resumir con las siguientes tablas, con la clasificación del nivel de riesgo y medidas de mitigación:

Un sistema automatizado cuya lógica no pueda reconstruirse puede generar tantos problemas como una matriz insuficiente. Por ello, la mejor metodología no será necesariamente la más compleja, sino aquella que permita demostrar con claridad de dónde provienen los datos, por qué se eligieron determinados factores, cómo se ponderaron, qué controles redujeron el riesgo y qué decisiones se adoptaron como consecuencia de los resultados.

Conclusión

El Enfoque Basado en Riesgos supone una transformación estructural del cumplimiento aplicable a las Actividades Vulnerables. Los artículos 10 Septies a 10 Septies 6 desplazan el centro de atención desde la existencia puramente formal de documentos hacia la capacidad de demostrar un proceso sistemático de identificación, análisis, valoración, mitigación y seguimiento del riesgo.

La flexibilidad que ofrecen las reglas en aspectos como ponderaciones, escalas, metodologías y niveles de tolerancia no debe entenderse como una reducción de las exigencias regulatorias. Por el contrario, cuando la norma no determina exactamente cómo ponderar, corresponde al sujeto obligado justificar su decisión; cuando no establece una fórmula única para medir los Mitigantes, corresponde a la organización demostrar su efectividad; y cuando no define numéricamente qué nivel de riesgo resulta tolerable, deberá existir una decisión institucional documentada que permita comprender los parámetros utilizados.

En este contexto, el verdadero estándar de cumplimiento ya no puede limitarse a contar con manuales, expedientes o matrices. El estándar será la defendibilidad de la metodología. Un EBR sólido deberá permitir que un tercero —auditor, órgano de gobierno o autoridad— reconstruya las decisiones adoptadas y comprenda, a partir de evidencia verificable, cómo el sujeto obligado identificó su riesgo, lo midió, lo mitigó y decidió administrarlo. Ese será, probablemente, uno de los principales puntos de convergencia entre los artículos 10 Septies y la futura fiscalización del SAT.