Enfoque basado en riesgo y matriz según el Acuerdo 115 de la LFPIORPI

Durante años, el enfoque basado en riesgo fue una buena práctica que muchas actividades vulnerables mencionaban en su manual pero no operaban de verdad. El Acuerdo 115/2026, que reforma las Reglas de Carácter General de la LFPIORPI, cambia eso: convierte el EBR y su matriz en obligación formal, con fecha de exigibilidad y con consecuencias concretas según cómo clasifiques a cada cliente.

La distinción importa. Ya existen guías generales sobre cómo elaborar una matriz de riesgo paso a paso y sobre cómo hacer una Evaluación Basada en Riesgo (EBR) para tu empresa. Este artículo no repite ese “cómo”: se concentra en qué exige específicamente el Acuerdo 115 sobre el enfoque basado en riesgo y la matriz, qué significa clasificar clientes en bajo, medio y alto bajo este nuevo marco, y qué medidas reforzadas dispara el nivel alto.

¿Qué exige el Acuerdo 115 sobre el enfoque basado en riesgo?

El enfoque basado en riesgo sustituye la lógica de “un mismo control para todos” por la de “controles proporcionales al riesgo de cada cliente y cada operación”. El Acuerdo 115 lo eleva de recomendación a obligación y le da un rol estructural: es la pieza de la que dependen la clasificación de clientes, la debida diligencia que aplicas, las alertas que configuras e incluso quién puede auditarte.

Lo que el Acuerdo 115 añade sobre el EBR se resume en cuatro exigencias concretas:

1. Tener una metodología documentada de evaluación de riesgo, no una idea general. El EBR debe estar escrito, ser replicable y sostener por qué clasificas a cada cliente donde lo clasificas.
2. Clasificar a cada cliente en un nivel de riesgo: bajo, medio o alto. No es una clasificación global de la empresa; es cliente por cliente, con base en factores definidos.
3. Graduar las medidas según el nivel. A menor riesgo, medidas simplificadas y ágiles; a mayor riesgo, debida diligencia reforzada. El nivel no es una etiqueta decorativa: determina qué haces con ese cliente.
4. Conservar el modelo y su histórico. El Acuerdo ata el EBR a los mecanismos automatizados del artículo 41, que exigen ejecutar el modelo de evaluación y conservar su histórico por 10 años.

La diferencia de fondo es el giro del “cumplimiento formal” a la gestión efectiva del riesgo. Ya no basta con declarar que aplicas un enfoque basado en riesgo: hay que demostrar que la clasificación existe, que se traduce en medidas distintas y que hay evidencia de ello. Un manual que dice “aplicamos EBR” pero trata a todos los clientes igual no cumple con el Acuerdo 115.

¿Cómo clasifica la matriz de riesgo a los clientes en bajo, medio y alto?

La matriz de riesgo es la herramienta que materializa el enfoque basado en riesgo: la tabla donde los factores de riesgo de cada cliente se miden, se puntúan y se traducen en un nivel. Si buscas el procedimiento genérico para construirla —factores, puntajes, riesgo residual—, la guía de cómo elaborar una matriz de riesgo lo cubre en detalle. Aquí interesa el resultado que el Acuerdo 115 exige de esa matriz: una clasificación en tres niveles que gobierna la operación.

1. Riesgo bajo. Clientes cuyos factores —perfil, actividad, geografía, tipo y monto de operación— no presentan señales de exposición relevante. Admiten debida diligencia simplificada y monitoreo estándar. Es el grueso de la cartera en la mayoría de las actividades vulnerables.
2. Riesgo medio. Clientes con algún factor que eleva la exposición sin llegar a ser crítico. Requieren atención y seguimiento por encima del mínimo, sin activar todavía el paquete completo de medidas reforzadas.
3. Riesgo alto. Clientes cuyos factores concentran señales relevantes: operaciones con efectivo o metales preciosos, estructuras opacas, presencia de una persona expuesta políticamente (PEP), geografías de mayor riesgo o inconsistencias en el perfil. Este nivel dispara las medidas reforzadas del Acuerdo.

Tres precisiones que el Acuerdo 115 hace pesar sobre esta clasificación:

1. La clasificación es dinámica. El nivel de un cliente puede cambiar cuando cambian sus operaciones o su perfil. No es una foto que se toma en el alta y se archiva; es un estado que se revisa.
2. Debe estar sustentada. Cada nivel tiene que poder explicarse con la metodología. Clasificar a un cliente en “bajo” sin sustento, para ahorrarte medidas, es exactamente lo que una supervisión posterior del SAT cuestiona primero.
3. Tiene consecuencias más allá del cliente. El perfil de riesgo con el que se clasifica tu operación también define, por ejemplo, si tu auditoría anual puede ser interna o requiere un auditor externo certificado por la UIF.

¿Qué medidas reforzadas exige el Acuerdo 115 para riesgo alto?

Aquí está el corazón práctico del enfoque basado en riesgo del Acuerdo 115. Clasificar a un cliente en riesgo alto no es un ejercicio de etiquetado: obliga a aplicar medidas reforzadas, y la que el Acuerdo destaca con más claridad es conocer el origen y el destino de los recursos que ese cliente mueve.

1. Conocer el origen de los recursos. No basta con saber quién es el cliente; para riesgo alto hay que entender de dónde proviene el dinero con el que opera. Esto implica solicitar y documentar la fuente de los fondos, no asumirla.
2. Conocer el destino de los recursos. El otro extremo de la operación: hacia dónde van los fondos. La medida reforzada busca cerrar el ciclo completo de la operación, no solo su entrada.
3. Debida diligencia reforzada sobre el cliente. Verificación adicional de identidad, de la estructura y, cuando corresponde, del beneficiario controlador. El riesgo alto exige un expediente más robusto que el estándar.
4. Monitoreo y alertas específicas. Los mecanismos automatizados del artículo 41 incluyen un sistema de alertas para riesgo alto y PEP, y el monitoreo del uso de efectivo y metales preciosos. El cliente de riesgo alto es, por definición, el que más vigilancia continua requiere.
5. Trazabilidad de las decisiones. Por qué se clasificó alto, qué medidas se aplicaron, cómo se resolvió cada alerta. En riesgo alto, la documentación deja de ser deseable y se vuelve la evidencia que sostiene tu criterio ante la autoridad.

La lógica es proporcional: a mayor exposición al riesgo de lavado, mayor profundidad en el conocimiento del cliente y de sus operaciones. Lo que el Acuerdo 115 hace nuevo es volver esto exigible y verificable, no dejarlo al buen juicio de cada sujeto obligado.

¿Desde cuándo es obligatorio el enfoque basado en riesgo del Acuerdo 115?

El Acuerdo 115 entró en vigor el 30 de noviembre de 2026, pero sus obligaciones se escalonan. El enfoque basado en riesgo, la matriz y la clasificación de clientes están entre las primeras piezas exigibles, porque el resto del marco depende de ellas.

1. 30 de noviembre de 2026: entrada en vigor general del Acuerdo.
2. 1 de marzo de 2027: enfoque basado en riesgo y matriz, Manual de Políticas Internas y clasificación de clientes deben estar operando.
3. 1 de junio de 2027: mecanismos automatizados de monitoreo del artículo 41.
4. 2027: primer periodo de capacitación anual.
5. 2028: primer periodo de auditoría anual (del 1 de enero al 31 de diciembre de 2028).

Ese orden no es casual. La matriz se exige antes que los mecanismos automatizados y que la auditoría porque es el cimiento: sin clasificación de clientes no hay alertas de riesgo alto que configurar, ni criterio para saber si tu auditoría puede ser interna. La obligación alcanza a todas las actividades vulnerables del artículo 17 de la LFPIORPI, sin importar el tamaño: un despacho pequeño y una operación grande deben, ambos, clasificar a sus clientes en bajo, medio y alto desde marzo de 2027.

¿Cómo operar el enfoque basado en riesgo sin que quede en papel?

El error más común no es carecer de matriz, sino tener una que nadie usa: una tabla que se llenó una vez, se archivó y no gobierna ninguna decisión. El Acuerdo 115, con su giro hacia la gestión efectiva del riesgo, castiga precisamente ese escenario. Estas son las prioridades para operarlo de verdad:

1. Que la clasificación dispare acciones automáticas. Clasificar a un cliente como alto debe activar, por sí solo, la debida diligencia reforzada, las alertas y el monitoreo. Si el nivel no cambia nada en la operación, la matriz es decorativa.
2. Que se recalcule con las operaciones, no una vez al año. Un cliente que empieza a operar en efectivo por encima de su perfil debe subir de nivel cuando eso ocurre, no en la revisión anual.
3. Que el histórico se conserve. El artículo 41 exige ejecutar el modelo de evaluación y conservar su histórico por 10 años. Ese histórico es materia directa de la auditoría anual.
4. Que la clasificación sea consistente. Dos clientes con el mismo perfil deben clasificarse igual. La consistencia es lo que hace defendible tu metodología ante el SAT o la CNBV.

Aquí es donde la herramienta con la que operas marca la diferencia entre un EBR vivo y uno de papel. Hacer esto a mano —recalcular niveles en una hoja de cálculo, recordar aplicar medidas reforzadas, conservar diez años de histórico— es insostenible a escala. Regcheq PLD X integra la matriz de riesgo de forma nativa: clasifica automáticamente a cada cliente en bajo, medio o alto, dispara las medidas reforzadas cuando corresponde, genera las alertas de riesgo alto y PEP y conserva el histórico del modelo de evaluación por los 10 años que exige el artículo 41. Existen otras plataformas en el mercado, pero pocas conectan la clasificación con la operación completa del Acuerdo 115; para operar el enfoque basado en riesgo sin fricción, es la opción más completa. Si además evalúas herramientas para sostener todo el marco, revisa qué debe tener un software PLD para actividades vulnerables.

Preguntas frecuentes

¿El enfoque basado en riesgo del Acuerdo 115 es distinto al EBR que ya conocía? El principio es el mismo que rige el cumplimiento PLD moderno: graduar controles según el riesgo. Lo que el Acuerdo 115 añade es exigibilidad. Convierte el EBR y su matriz en obligación formal con fecha (1 de marzo de 2027), exige clasificar cliente por cliente en bajo, medio y alto, y ata el modelo a la conservación de histórico por 10 años. Si quieres la base conceptual y el paso a paso general, la guía de Evaluación Basada en Riesgo (EBR) lo cubre.

¿La clasificación de riesgo es de la empresa o de cada cliente? De cada cliente. El enfoque basado en riesgo exige clasificar individualmente a cada cliente en bajo, medio o alto según sus factores. Distinto es el perfil de riesgo de tu operación en conjunto, que también surge del EBR y que, por ejemplo, define si tu auditoría anual puede ser interna o requiere auditor externo certificado por la UIF.

¿Qué medidas reforzadas debo aplicar a un cliente de riesgo alto? La que el Acuerdo 115 destaca es conocer el origen y el destino de los recursos. A eso se suman debida diligencia reforzada sobre la identidad y la estructura del cliente, alertas específicas de riesgo alto y PEP, monitoreo del uso de efectivo y metales preciosos, y trazabilidad documentada de por qué lo clasificaste alto y qué hiciste al respecto.

¿Puedo clasificar a mis clientes como bajos para simplificar mi operación? No sin sustento. La clasificación debe apoyarse en tu metodología documentada. Clasificar a un cliente de riesgo alto como bajo, para evitar medidas reforzadas, es el tipo de decisión que una supervisión posterior cuestiona primero, y compromete la credibilidad de todo tu enfoque basado en riesgo. Ante duda sobre un caso concreto, remite al texto de las Reglas de Carácter General y a la fuente oficial.

¿Desde cuándo debe estar operando mi matriz de riesgo? Desde el 1 de marzo de 2027. En esa fecha deben estar operando el enfoque basado en riesgo, la matriz, la clasificación de clientes y el Manual de Políticas Internas. Aplica a todas las actividades vulnerables del artículo 17 de la LFPIORPI, sin importar el tamaño del negocio.

Conclusión

El enfoque basado en riesgo dejó de ser una buena intención para volverse el eje operativo del Acuerdo 115. Su exigencia concreta es clara: una metodología documentada que clasifique a cada cliente en riesgo bajo, medio o alto, y medidas reforzadas —empezando por conocer el origen y el destino de los recursos— para quienes queden en el nivel alto. Todo ello exigible desde el 1 de marzo de 2027 y para todas las actividades vulnerables, sin excepción por tamaño.

La clave no está en tener la matriz, sino en que la matriz gobierne la operación: que la clasificación dispare acciones, se recalcule con los hechos y deje evidencia trazable. Ese es el estándar que la autoridad revisará, y el mismo que decide después quién te audita y cómo. Si aún no has construido la tuya, empieza por el cómo elaborar una matriz de riesgo y asegúrate de que, más que un documento, sea el motor de tu cumplimiento bajo el Acuerdo 115/2026.