El Enfoque Basado en Riesgos (EBR) es la metodología que permite a una empresa identificar, evaluar y gestionar su exposición a ser utilizada para el lavado de dinero o el financiamiento al terrorismo, y aplicar controles proporcionales a ese riesgo. Lo que durante años fue "cosa de bancos" hoy es una obligación legal explícita también para las empresas con Actividades Vulnerables. En esta guía completa para México 2026 explicamos qué es el EBR en PLD, cómo se aplica paso a paso y en qué se diferencia según seas una actividad vulnerable o una entidad financiera.
¿Qué es el EBR (Enfoque Basado en Riesgos)?
El EBR es una metodología de gestión que integra la identificación y evaluación de riesgos en la toma de decisiones. A diferencia de los enfoques reactivos, busca anticiparse a los riesgos potenciales y mitigarlos antes de que se materialicen. En materia de prevención, su objetivo es que la entidad determine su nivel de exposición al riesgo de ser utilizada para operaciones de lavado de dinero o financiamiento al terrorismo, en función del tipo de operaciones, clientes y canales que maneja.
El concepto proviene de los estándares internacionales: en 2007 el Grupo de Acción Financiera (GAFI) publicó su guía del Enfoque Basado en Riesgos para combatir el LD/FT, y cada país lo adapta a su marco legal. En México, las reformas a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) lo convirtieron en una exigencia documentada.
La regla de oro del EBR es sencilla: mayor riesgo = mayor supervisión y requisitos (debida diligencia reforzada); menor riesgo = medidas simplificadas (menos carga administrativa).
¿Cuáles son los pasos generales para implementar el EBR?
- Identificación de riesgos: reconocer los riesgos que pueden afectar a la organización (de cliente, producto, geografía y canal).
- Evaluación de riesgos: medir cada riesgo según su probabilidad e impacto, para priorizar los más significativos.
- Estrategias de mitigación: definir controles internos proporcionales para los riesgos más críticos.
- Implementación y monitoreo: aplicar los controles y vigilar su efectividad con indicadores.
- Revisión y ajuste: el EBR es dinámico; debe actualizarse ante nuevos riesgos y cambios normativos.
EBR para Actividades Vulnerables: cómo aplicarlo en tu empresa
Si te dedicas a la venta de inmuebles, autos o joyería, eres notario o realizas cualquier Actividad Vulnerable, la ley te obliga a entender y mitigar tus riesgos. Ya no basta con pedir la INE y archivarla. Así se aplica el EBR paso a paso:
Paso 1. La autoevaluación (conoce tu negocio). Antes de mirar a tus clientes, identifica qué tan expuesto estás analizando cuatro elementos: productos y servicios (¿vendes relojes de lujo o autos blindados?), clientes y usuarios (¿empresas de reciente creación, extranjeros o Personas Políticamente Expuestas?), país o área geográfica (¿operas en zonas de alta incidencia?) y canales de transacción (¿presencial o a distancia?).
Paso 2. Clasificación del cliente. Una vez que entiendes tus riesgos, clasifica a cada cliente. A los de riesgo bajo puedes aplicar medidas simplificadas (agilizan la venta); a los de riesgo alto —alertas, operaciones inusuales o PEP— debes aplicar medidas reforzadas, con monitoreo más intenso e información sobre el origen de los recursos.
Paso 3. El Beneficiario Controlador. Ya no basta con identificar a quien firma el contrato: debes identificar a la persona física que realmente obtiene el beneficio, ejerce el control o toma las decisiones finales de la operación. Profundiza en nuestra guía sobre la trascendencia del beneficiario final.
Paso 4. El Manual de Políticas Internas. Todo lo anterior debe estar documentado. Las empresas con Actividades Vulnerables están obligadas a elaborar y observar un manual que, con base en su evaluación de riesgos, defina cómo se identifica a los clientes, cómo se evalúa su nivel de riesgo y cómo se tratan los casos específicos como las PEP.
Paso 5. La auditoría (interna o externa). La ley exige revisar el cumplimiento de forma periódica, y el tipo de revisión depende del nivel de riesgo: si tu riesgo es bajo o medio, puedes realizar una auditoría interna en PLD; si es alto, suele requerirse un auditor externo independiente. La información y los expedientes deben conservarse por al menos cinco años.
EBR para Entidades Financieras: diferencias con el EBR para Actividades Vulnerables
Aunque la lógica del EBR es la misma, su exigencia cambia según el régimen:
- Actividades Vulnerables: se reportan ante el SAT bajo la LFPIORPI. El EBR se traduce en autoevaluación, clasificación de clientes, manual de políticas y auditoría proporcional al riesgo.
- Entidades Financieras: (bancos, SOFOMES reguladas, SOFIPOs, casas de bolsa) están supervisadas por la CNBV y reportan a la UIF. Su EBR es más estricto: metodologías formales de calificación de riesgo, sistemas automatizados de monitoreo, comités, un Oficial de Cumplimiento certificado y reportes periódicos de operaciones.
En ambos casos, el EBR alimenta directamente las decisiones de debida diligencia y la generación de reportes de operaciones, y su correcta operación recae en el responsable u Oficial de Cumplimiento.
Cómo construir tu Matriz EBR paso a paso
La Matriz EBR es la herramienta que materializa el enfoque: cruza los factores de riesgo para asignar a cada cliente y operación una calificación. Para construirla:
- Define los factores de riesgo (cliente, producto/servicio, geografía y canal) y sus variables.
- Asigna ponderaciones a cada factor según su relevancia para tu actividad.
- Establece niveles de riesgo (bajo, medio, alto) con criterios objetivos y umbrales claros.
- Vincula cada nivel a una acción: medidas simplificadas, estándar o reforzadas.
- Documenta y actualiza la metodología, y deja evidencia de cada calificación.
Regcheq automatiza tu Matriz EBR: calcula el riesgo de cada cliente, aplica la debida diligencia que corresponde y deja trazabilidad de cada decisión. Ofrecemos la matriz EBR más robusta y configurable para cada cliente. Solicita una demo gratuita de Regcheq y convierte el EBR en un proceso automatizado y auditable.
Beneficios de implementar el EBR
- Mejor toma de decisiones al tener una visión clara del riesgo.
- Optimización de recursos: concentras esfuerzos en los clientes de alto riesgo y simplificas los de bajo riesgo.
- Cumplimiento normativo y reducción del riesgo de multas.
- Protección reputacional frente a clientes, socios y autoridades.
El EBR y la consulta de listas de vigilancia
Un EBR completo no se limita a clasificar al cliente al inicio de la relación: exige verificarlo contra las listas de personas bloqueadas y sancionadas (PEP, OFAC, UIF, ONU) y mantener ese monitoreo a lo largo del tiempo. Detectar que un cliente aparece en una lista —o que se convierte en PEP después de iniciada la relación— eleva automáticamente su nivel de riesgo y dispara la debida diligencia reforzada. Por eso la consulta de listas y la matriz de riesgo deben operar juntas: una alimenta a la otra. Cuando este cruce se hace de forma manual, es fácil que un cambio en el perfil del cliente pase desapercibido durante meses.
Errores comunes al implementar el EBR
- Tratar a todos los clientes igual. Aplicar la misma diligencia a todos desperdicia recursos en los de bajo riesgo y deja cortos a los de alto riesgo.
- Evaluar el riesgo una sola vez. El riesgo cambia; un EBR estático deja de reflejar la realidad de la operación.
- No documentar la metodología. Sin evidencia de cómo se calificó cada cliente, la autoridad no puede validar el cumplimiento, aunque el criterio haya sido correcto.
- Confundir el EBR con un trámite. El enfoque sólo funciona cuando sus resultados se traducen en controles reales sobre los clientes y operaciones de mayor riesgo.
Preguntas frecuentes sobre el EBR
¿El EBR es obligatorio para las Actividades Vulnerables?
Sí. Con las reformas a la LFPIORPI, el EBR dejó de ser una buena práctica opcional para convertirse en una obligación documentada: las empresas deben evaluar su riesgo y aplicar controles proporcionales.
¿Qué factores se analizan en la evaluación de riesgos?
Cuatro factores principales: clientes y usuarios, productos y servicios, zona geográfica y canales de transacción. De su combinación resulta el nivel de riesgo de cada cliente y operación.
¿Cuál es la diferencia entre debida diligencia simplificada y reforzada?
La simplificada aplica a clientes de bajo riesgo y solicita menos información; la reforzada aplica a clientes de alto riesgo (por ejemplo PEP) e implica más datos, verificación del origen de recursos y monitoreo más intenso.
¿Cada cuánto debo actualizar mi EBR?
El EBR es dinámico: debe revisarse de forma periódica y cada vez que cambien tus riesgos, tu operación o el marco normativo, y respaldarse con la auditoría que corresponda a tu nivel de riesgo.
Comentarios