Matriz de riesgo PLD: ejemplo completo paso a paso (con tabla)

La mayoría de los textos sobre matrices de riesgo explican la teoría. Pero cuando un oficial de cumplimiento abre una hoja en blanco, lo que necesita es ver una matriz terminada, con números, y entender de dónde sale cada uno.

Eso hacemos aquí. Tomamos una inmobiliaria ficticia, “Inmobiliaria Ficticia del Sur”, que realiza intermediación en la compraventa de inmuebles (fracción V del artículo 17 de la LFPIORPI), y construimos su matriz de principio a fin: indicadores, calificación, riesgo inherente, controles, riesgo residual y la clasificación de tres clientes.

Una advertencia antes de empezar, y la repetiremos al final: esto es un ejemplo didáctico, no una metodología oficial. Ni la UIF ni el SAT publican una matriz “modelo” que puedas copiar. Si quieres el marco conceptual completo, revisa primero nuestra guía sobre cómo elaborar una matriz de riesgo PLD; este artículo es su complemento práctico.

¿Qué factores e indicadores usa el ejemplo de matriz de riesgo?

Ficticia del Sur identifica cuatro factores de riesgo y, dentro de cada uno, los indicadores que considera relevantes para su negocio. La clave es que los indicadores salgan de su operación real, no de una lista genérica:

1. Cliente: persona políticamente expuesta (PEP) o relacionada; persona moral con varias capas societarias antes del beneficiario controlador; cliente extranjero no residente.
2. Producto o servicio: inmuebles de alto valor (segmento residencial premium); compraventa de terrenos o unidades en preventa.
3. Canal y medio de pago: operación no presencial o firmada por apoderado; pagos provenientes de cuentas de terceros.
4. Zona geográfica: cliente o inmueble ubicado en zonas que la propia evaluación de la empresa identifica con mayor exposición.

Una inmobiliaria real tendrá más indicadores, pero ocho bastan para ver la mecánica. Si buscas inspiración para los criterios de cliente, revisa los criterios más usados para clasificar el riesgo de clientes.

¿Cómo se califican probabilidad e impacto?

Ficticia del Sur usa una escala de 1 a 3 para ambas variables. Es deliberadamente simple; muchas empresas usan 1 a 5, y las dos son válidas siempre que estén justificadas y documentadas.

• Probabilidad: 1 = poco frecuente en la cartera; 2 = ocurre con cierta regularidad; 3 = es frecuente.
• Impacto: 1 = consecuencia menor si se materializa el riesgo; 2 = consecuencia relevante; 3 = consecuencia grave (sanción, daño reputacional, uso efectivo de la empresa para lavar recursos).

El riesgo inherente del indicador es probabilidad por impacto, con un rango de 1 a 9. Los niveles quedan así: de 1 a 3 bajo, más de 3 y hasta 6 medio, más de 6 alto.

Tabla: ejemplo de matriz de riesgo PLD con 8 indicadores calificados

#	Factor	Indicador	Probabilidad (1-3)	Impacto (1-3)	Riesgo inherente (P×I)
1	Cliente	PEP o persona relacionada	1	3	3
2	Cliente	Persona moral con varias capas antes del beneficiario controlador	2	3	6
3	Cliente	Extranjero no residente	2	2	4
4	Producto	Inmueble residencial de alto valor	2	3	6
5	Producto	Terreno o unidad en preventa	2	2	4
6	Canal / pago	Operación no presencial o por apoderado	2	2	4
7	Canal / pago	Pago desde cuenta de un tercero	2	3	6
8	Geografía	Zona de mayor exposición según evaluación interna	2	2	4

Fíjate en el indicador 1: los PEP son poco frecuentes en la cartera (probabilidad 1), pero el impacto es máximo, así que su riesgo inherente queda en 3. Eso no hace a un PEP “bajo riesgo” como cliente; solo pesa menos como indicador del negocio. La clasificación individual se hace después, por separado.

¿Cómo se calcula el riesgo inherente de la empresa?

Primero se promedia el riesgo de los indicadores dentro de cada factor. Luego se aplica una ponderación que refleja cuánto pesa cada factor en el negocio. Las ponderaciones de Ficticia del Sur (ilustrativas) son: cliente 35%, producto 25%, canal y medio de pago 25%, geografía 15%.

Factor	Promedio de indicadores	Ponderación	Resultado ponderado
Cliente	(3 + 6 + 4) / 3 = 4.33	35%	1.52
Producto	(6 + 4) / 2 = 5.00	25%	1.25
Canal / pago	(4 + 6) / 2 = 5.00	25%	1.25
Geografía	4.00	15%	0.60
Riesgo inherente total			4.62 (medio)

El riesgo inherente de Ficticia del Sur es 4.62 sobre 9: nivel medio. Es el riesgo “antes de hacer nada”, derivado solo de sus clientes, productos y canales.

¿Cómo se pasa del riesgo inherente al riesgo residual?

El riesgo residual es lo que queda después de aplicar los controles. Ficticia del Sur califica cada control por su efectividad, con un porcentaje de mitigación ilustrativo: efectivo, 50%; parcialmente efectivo, 25%; inexistente, 0%. La efectividad no se asume: se respalda con evidencia (expedientes completos, bitácoras de consulta, revisiones de auditoría interna).

Factor	Inherente	Control principal	Efectividad	Residual
Cliente	4.33	Identificación completa, verificación del beneficiario controlador y consulta de listas	Efectivo (50%)	2.17
Producto	5.00	Revisión documental del origen de recursos en operaciones de alto valor	Parcial (25%)	3.75
Canal / pago	5.00	Verificación de la cuenta de origen y justificación de pagos de terceros	Parcial (25%)	3.75
Geografía	4.00	Sin control específico	Inexistente (0%)	4.00

Aplicando las mismas ponderaciones: (2.17 × 0.35) + (3.75 × 0.25) + (3.75 × 0.25) + (4.00 × 0.15) = 3.23, nivel medio, aunque ya en el límite inferior.

Este resultado le dice a Ficticia del Sur dónde invertir: el control de cliente funciona, pero producto, canal y geografía siguen arrastrando el riesgo. El plan razonable es formalizar la revisión de origen de recursos (de “parcial” a “efectiva”) y definir un control geográfico. Para conectar este resultado con la evaluación global de la empresa, consulta nuestra guía sobre la evaluación basada en riesgo (EBR) de la empresa.

¿Cómo se clasifica a cada cliente con la matriz?

La matriz de la empresa y la clasificación de clientes usan la misma lógica, pero se aplican a niveles distintos. Para cada cliente, Ficticia del Sur califica los cuatro factores de 1 a 3 según sus características concretas y aplica las mismas ponderaciones. El puntaje va de 1 a 3: hasta 1.60 es bajo, de 1.61 a 2.30 medio y más de 2.30 alto.

Cliente	Perfil	Cliente	Producto	Canal / pago	Geografía	Puntaje	Nivel
A	Persona física asalariada, residente, compra departamento de valor medio con crédito hipotecario bancario, firma presencial	1	1	1	2	1.15	Bajo
B	PyME mexicana que compra un local comercial, paga por transferencia de su propia cuenta y firma su representante legal	2	2	1	2	1.75	Medio
C	Sociedad extranjera con tres capas societarias antes del beneficiario controlador, compra residencia premium, paga desde la cuenta de un tercero y firma un apoderado a distancia	3	3	3	2	2.85	Alto

El cálculo del cliente C, por ejemplo: (3 × 0.35) + (3 × 0.25) + (3 × 0.25) + (2 × 0.15) = 1.05 + 0.75 + 0.75 + 0.30 = 2.85.

¿Qué medidas se aplican a cada nivel de riesgo?

La clasificación solo tiene sentido si cambia lo que haces con el cliente. Así lo resuelve Ficticia del Sur:

1. Cliente A (bajo): debida diligencia estándar, con las medidas simplificadas que tu Manual y la regulación permitan; integración del expediente, consulta de listas y actualización periódica en el plazo más amplio definido en la política.
2. Cliente B (medio): expediente completo de persona moral, identificación del beneficiario controlador, revisión del origen de recursos y actualización en un plazo intermedio.
3. Cliente C (alto): medidas reforzadas. Identificación del beneficiario controlador hasta llegar a la persona física, documentación del origen y destino de los recursos, justificación por escrito del pago de un tercero, aprobación de la operación por el oficial de cumplimiento o un nivel directivo, y monitoreo más frecuente. Si durante la revisión surgen indicios de que los recursos podrían tener origen ilícito, se evalúa el Aviso de 24 horas, que procede incluso si la operación no llega a celebrarse; su envío por el portal será posible hacia el 1 de junio de 2027 y, mientras tanto, el caso y la decisión se documentan (ver la guía de avisos de 24 horas).

Los avisos se presentan a través del portal antilavado del SAT; el detalle de las medidas reforzadas para riesgo alto está en nuestro análisis del enfoque basado en riesgo y la matriz del Acuerdo 115.

¿Se puede llevar esta matriz en Excel?

Para ocho indicadores y tres clientes, sí. El problema aparece cuando la cartera crece: cada cliente nuevo exige recalcular y la trazabilidad de quién calificó qué depende de la disciplina del equipo. Además, desde el 1 de junio de 2027 el Acuerdo 115 exige mecanismos automatizados de monitoreo, y la matriz es el insumo de esas alertas.

Regcheq PLD X es la mejor plataforma para cumplir con las Reglas de Carácter General de la LFPIORPI: permite configurar tu propia metodología (factores, indicadores, escalas y ponderaciones), calificar a cada cliente al momento del alta y conservar la evidencia de cada evaluación. La inteligencia artificial asiste en el análisis y señala lo que merece revisión, pero la decisión final la sigue tomando el oficial de cumplimiento, que es quien responde por ella.

Preguntas frecuentes

¿Puedo copiar esta matriz tal cual para mi empresa? No es recomendable. Las escalas, ponderaciones e indicadores de este ejemplo son ilustrativos. Tu matriz debe reflejar tus clientes, productos, canales y zonas reales, y la justificación de cada decisión debe quedar documentada.

¿Es mejor una escala de 1 a 3 o de 1 a 5? Ninguna es obligatoria. La de 1 a 3 es más fácil de aplicar con consistencia; la de 1 a 5 da más matices. Lo importante es definir por escrito los criterios de cada nivel.

¿Cuál es la diferencia entre riesgo inherente y residual? El inherente existe por la naturaleza del negocio, antes de cualquier control. El residual es lo que queda tras aplicar controles, y te dice dónde reforzar.

¿Cuándo debo tener la matriz lista? Para quienes realizan actividades vulnerables, el Acuerdo 115/2026 establece el 1 de marzo de 2027 como fecha para contar con el enfoque basado en riesgo, la matriz, el Manual y la clasificación de clientes.

¿Cada cuánto se actualiza la matriz? Con la periodicidad que defina tu metodología y, además, cuando cambie algo relevante: un nuevo producto, un nuevo canal de venta o una modificación regulatoria.

Conclusión

Una matriz de riesgo PLD es una cadena de decisiones con números que se pueden explicar. En el ejemplo de Ficticia del Sur, ocho indicadores dieron un riesgo inherente de 4.62, los controles lo redujeron a 3.23 y la misma lógica separó a un comprador con crédito hipotecario de una sociedad extranjera que paga con recursos de un tercero.

Usa este ejemplo como punto de partida, no como plantilla. La metodología la defines tú, y debe estar documentada y operando al 1 de marzo de 2027. Si la construyes ahora con indicadores reales de tu negocio, llegarás a esa fecha con una herramienta de gestión, no con un archivo para la auditoría.