¿Por qué la metodología EBR debe preceder al monitoreo automatizado?
La reforma antilavado exige evaluar riesgos y establecer mecanismos automatizados. Su adecuada articulación requiere que la metodología EBR defina previamente variables, parámetros, controles y criterios que permitan monitorear operaciones eficazmente.
El EBR cambia la lógica del cumplimiento antilavado
La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada el 16 de julio de 2025, introdujo una transformación relevante para quienes realizan Actividades Vulnerables: el Enfoque Basado en Riesgos (EBR) dejó de constituir únicamente una práctica recomendable para convertirse en una obligación expresamente incorporada al régimen preventivo.
El artículo 18, fracción VII, establece la obligación de llevar a cabo una evaluación con un enfoque basado en riesgos que permita identificar, analizar, entender y mitigar los riesgos propios y de los clientes o usuarios relacionados con las Actividades Vulnerables.
Las modificaciones de 2026 a las Reglas de Carácter General (RCG) desarrollan esta obligación, particularmente mediante los artículos 10 Septies y siguientes, proporcionando elementos para traducir el mandato legal en un modelo operativo. Pero ¿qué significa realmente contar con una metodología EBR?
No significa simplemente elaborar una matriz de colores ni asignar indiscriminadamente las etiquetas de riesgo “bajo”, “medio” y “alto”. Tampoco consiste en reproducir modelos diseñados para instituciones financieras.
Una metodología EBR es, sustancialmente, un modelo estructurado, documentado y reproducible mediante el cual el sujeto obligado identifica, analiza, entiende, mide y mitiga sus riesgos de lavado de dinero y financiamiento al terrorismo, atendiendo a las características particulares de su Actividad Vulnerable.
Su finalidad consiste en responder una pregunta fundamental: ¿dónde se encuentra el riesgo y qué controles resultan razonablemente proporcionales para administrarlo?
No todos los riesgos son iguales
El principio que sostiene al EBR es sencillo: tratar riesgos diferentes de manera idéntica puede producir controles ineficientes. Una inmobiliaria, una comercializadora de vehículos, un prestador de servicios profesionales, una joyería o una empresa dedicada al desarrollo inmobiliario presentan modelos operativos distintos. Sus clientes, montos, medios de pago, productos, canales y exposición geográfica tampoco son necesariamente comparables.
Por ello, el artículo 10 Septies 1 de las RCG exige considerar factores relacionados, entre otros aspectos, con los actos u operaciones, tipos de clientes o usuarios, países o áreas geográficas, así como transacciones y canales de envío o distribución. La metodología debe traducir esos factores generales en variables observables y pertinentes para la actividad específica.
Así, el factor “cliente” puede considerar características como tipo de persona, actividad económica, estructura corporativa, residencia, comportamiento transaccional o participación de estructuras jurídicas complejas. El factor geográfico puede incorporar jurisdicciones vinculadas con mayor exposición al riesgo. Las operaciones, por su parte, pueden evaluarse considerando montos, frecuencia, medios de pago y desviaciones respecto del comportamiento esperado.
La clave consiste en evitar variables arbitrarias: cada elemento utilizado para clasificar el riesgo debe poseer una justificación y ser susceptible de evaluación.
Del factor de riesgo al resultado medible
Una metodología técnicamente consistente requiere transformar los factores identificados en un mecanismo que permita obtener resultados reproducibles. Para ello pueden utilizarse ponderaciones, escalas, matrices, puntuaciones o modelos de scoring, siempre que respondan a las características del sujeto obligado y permitan explicar cómo se obtuvo determinada clasificación.
Aquí debe hacerse una distinción jurídica importante: la LFPIORPI no impone literalmente un único modelo matemático de scoring, ni ordena utilizar necesariamente categorías denominadas “bajo, medio y alto” bajo una fórmula universal.
La metodología utilizada debe, sin embargo, permitir identificar, analizar, entender, medir y mitigar el riesgo conforme al marco normativo.
Por ello, una matriz sofisticada cuyos porcentajes carezcan de justificación puede resultar menos defendible que un modelo relativamente sencillo cuyas variables, ponderaciones y resultados puedan explicarse documentalmente. El verdadero atributo de una metodología sólida no es su complejidad, sino su coherencia y trazabilidad.
Riesgo inherente, controles y riesgo residual
Un modelo maduro debe permitir distinguir entre el riesgo existente antes de considerar las medidas de mitigación y aquel que permanece después de aplicar los controles correspondientes. El primero suele identificarse como riesgo inherente; el segundo, como riesgo residual. La diferencia resulta particularmente útil para efectos de cumplimiento.
Supóngase que determinado segmento de clientes presenta una exposición elevada debido a la combinación de características geográficas, operaciones de alto valor y estructuras corporativas complejas. Ese sería el riesgo que inicialmente enfrenta la organización.
Posteriormente deberán evaluarse los controles existentes: identificación reforzada, obtención de información adicional, autorizaciones internas, monitoreo transaccional o cualquier otra medida jurídicamente procedente. El resultado permitirá valorar el riesgo que permanece después de los controles.
Esta distinción impide confundir dos preguntas distintas: ¿qué tan expuesta se encuentra la organización? y ¿qué tan eficaces son las medidas adoptadas para administrar esa exposición?
El vínculo con los mecanismos automatizados
La importancia de contar con una metodología correctamente construida adquiere todavía mayor dimensión frente a otra obligación incorporada al artículo 18 de la LFPIORPI. Su fracción X contempla mecanismos automatizados para llevar a cabo el monitoreo permanente de actos u operaciones realizados con clientes o usuarios, con la finalidad de identificar, entre otros elementos relevantes, desviaciones respecto de su perfil transaccional.
La tecnología, sin embargo, no determina autónomamente qué representa un riesgo jurídicamente relevante. Un sistema puede almacenar información, acumular operaciones, comparar variables y generar alertas. Pero necesita parámetros para hacerlo.
¿A partir de qué monto existe una desviación relevante? ¿Qué frecuencia debe considerarse atípica? ¿Qué combinación de variables amerita una revisión? ¿Cuándo debe intensificarse el monitoreo? ¿Qué comportamiento resulta incompatible con el perfil conocido del cliente?
Las respuestas deben provenir del modelo de riesgos del sujeto obligado. Por ello, aunque las fracciones VII y X del artículo 18 establecen obligaciones con contenido propio, deben interpretarse sistemáticamente: la metodología EBR constituye el presupuesto funcional para parametrizar adecuadamente el mecanismo automatizado.
La fórmula puede expresarse sencillamente: Sin EBR, el sistema monitorea datos; con EBR, el sistema puede monitorear riesgos.
El peligro de comprar primero el sistema
Uno de los errores que pueden presentarse durante la implementación consiste en invertir el orden lógico: adquirir una plataforma tecnológica y posteriormente intentar construir una metodología que justifique los parámetros predeterminados del proveedor.
El problema no es tecnológico, sino regulatorio, un mecanismo configurado mediante reglas genéricas puede generar un volumen excesivo de alertas irrelevantes —los conocidos falsos positivos— o, en el extremo contrario, omitir comportamientos que deberían ser analizados.
También puede provocar un problema probatorio, durante una verificación, no bastará necesariamente con demostrar que determinado programa generó una alerta. La organización debe encontrarse en condiciones de reconstruir la lógica de su modelo de cumplimiento: riesgo identificado, variable utilizada, control establecido, parámetro configurado, alerta producida, análisis realizado y, en su caso, decisión adoptada.
Por ello, la sofisticación tecnológica, por sí misma, no acredita el cumplimiento. Debe existir congruencia verificable entre los riesgos identificados, los controles establecidos, la parametrización del mecanismo y la evidencia generada.
La secuencia adecuada de implementación
Desde una perspectiva jurídica y operativa, resulta aconsejable seguir una secuencia ordenada: Metodología EBR → definición de parámetros y controles → configuración del mecanismo automatizado → monitoreo → evidencia → retroalimentación y actualización del riesgo.
No debe confundirse esta secuencia recomendada con una disposición legal que obligue literalmente a concluir cada etapa antes de comenzar la siguiente. Su importancia deriva de la necesidad práctica de articular coherentemente las obligaciones establecidas por la LFPIORPI y desarrolladas en las RCG.
La metodología determina qué debe observarse y por qué; el mecanismo automatizado permite establecer cómo se monitorea sistemáticamente. Ambos elementos deben retroalimentarse.
Las alertas, comportamientos detectados, resultados de auditorías, cambios en clientes, productos, servicios, canales o áreas geográficas pueden revelar nuevos riesgos y justificar modificaciones a la metodología. El EBR, por consiguiente, no es un documento que se elabora una sola vez y posteriormente se archiva. Constituye un ciclo permanente de administración del riesgo.
Gobierno, documentación y evidencia
Una metodología eficaz también debe establecer responsabilidades, debe quedar documentado quién participa en su elaboración, quién autoriza los criterios, qué áreas proporcionan información, quién ejecuta los controles, cómo se revisan los resultados y de qué manera se actualiza el modelo.
La documentación adquiere aquí una función esencial, el Manual de Políticas Internas, la metodología EBR, los expedientes de clientes o usuarios, los resultados del monitoreo, las alertas, los avisos presentados, las revisiones internas y las auditorías deben guardar consistencia.
Una organización podría disponer de políticas formalmente impecables y, simultáneamente, enfrentar dificultades durante una verificación si no puede demostrar que esas políticas se reflejan en su operación cotidiana. El reto, por tanto, no consiste únicamente en tener documentos, sino en generar evidencia de que el sistema preventivo funciona conforme a ellos.
El calendario también importa
Las modificaciones a las RCG contemplan una implementación escalonada, aunque el Acuerdo 115/2026 establece como regla general su entrada en vigor el 30 de noviembre de 2026, la evaluación bajo EBR deberá encontrarse a disposición de las autoridades competentes, previo requerimiento, a partir del 1 de marzo de 2027.
Asimismo, conforme al régimen transitorio aplicable, los mecanismos automatizados deberán encontrarse disponibles a más tardar el 1 de junio de 2027. Esta diferencia temporal refuerza una conclusión práctica: las organizaciones no deberían esperar a la fecha límite del sistema automatizado para comenzar a determinar qué riesgos pretenden monitorear.
Primero deben comprender su exposición, después, traducirla en criterios operativos, finalmente, la tecnología deberá ejecutar y documentar esos criterios.
EBR antes que tecnología
La reforma antilavado obliga a abandonar una concepción del cumplimiento basada exclusivamente en expedientes, formatos y avisos.
El nuevo paradigma exige comprender el negocio desde la perspectiva del riesgo. Para abogados, contadores, oficiales de cumplimiento y órganos de administración, ello implica formular preguntas distintas: ¿qué exposición enfrenta la organización?, ¿cómo fue determinada?, ¿qué variables la explican?, ¿qué controles la mitigan?, ¿cómo se demuestra su eficacia? y ¿el mecanismo automatizado realmente refleja esas decisiones?
La metodología EBR y el sistema automatizado no son obligaciones intercambiables. Tampoco debería concebirse a la tecnología como sustituto del razonamiento jurídico y técnico que exige la administración del riesgo. La metodología proporciona la lógica; el sistema, la capacidad de ejecución y monitoreo.
Por ello, la secuencia más defendible frente a auditorías y verificaciones puede resumirse en una premisa: primero entender el riesgo; después automatizar su vigilancia. Porque un sistema sin metodología puede producir información. Un verdadero modelo EBR debe producir decisiones justificables, controles proporcionales y evidencia verificable.
Sobre el autor
Mtro. Adrián Alfonso Paredes Santana
Licenciado en Contaduría Pública y Abogado por la Universidad de Guadalajara, Maestro en Impuestos por Instituto de Especialización para Ejecutivos (IEE), Socio de las firmas PVE Consultores y ASMX Solutions
Sigue leyendo
