¿Qué es el Enfoque Basado en Riesgos (EBR) en PLD y cómo lo aplica tu financiera?
¿Qué es el Enfoque Basado en Riesgos (EBR) en PLD y cómo lo aplica tu financiera?
Respuesta rápida: El Enfoque Basado en Riesgos (EBR) es el principio rector de la prevención de lavado de dinero que obliga a cada institución a identificar, medir y mitigar sus propios riesgos de forma proporcional, en lugar de aplicar los mismos controles a todos los clientes y operaciones por igual. Para una SOFOM ENR, el EBR es una obligación establecida en las Disposiciones de Carácter General (DCG) de la CNBV. La reforma a la LFPIORPI del 16 de julio de 2025 lo formalizó también como obligación para las actividades vulnerables. En la práctica, el EBR determina qué nivel de debida diligencia aplicas a cada cliente (simplificada, estándar o reforzada), con qué intensidad monitoreas sus operaciones y cómo priorizas tus recursos de cumplimiento.
¿Qué es el Enfoque Basado en Riesgos (EBR)?
El EBR es un principio internacional de prevención de lavado de dinero, establecido en la Recomendación 1 del Grupo de Acción Financiera Internacional (GAFI), que establece que las medidas de prevención deben ser proporcionales al nivel de riesgo real de cada entidad, no uniformes para todos.
Antes del EBR, el cumplimiento PLD funcionaba de forma reactiva y administrativa: se identificaba al cliente con documentos, se presentaban avisos al SAT o a la CNBV cuando una operación superaba cierto monto, y se conservaba la documentación. El enfoque era el mismo para todos. El problema era que ese modelo aplica los mismos controles a un cliente de bajo riesgo y a uno de alto riesgo, desperdiciando recursos donde el riesgo es mínimo y desatendiendo donde el riesgo es real.
El EBR invierte esa lógica: primero se identifican los riesgos propios de la entidad, luego se miden y se priorizan, y finalmente se aplican controles proporcionales. Quien tiene más riesgo, recibe más controles. Quien tiene menos, recibe controles más ligeros. El resultado es un sistema de cumplimiento más eficiente y más efectivo.
¿El EBR es obligatorio para una SOFOM ENR?
Sí, y no es nuevo. Las SOFOMes ENR llevan aplicando el EBR desde que las Disposiciones de Carácter General (DCG) de la CNBV lo establecieron en las Disposiciones 17a-1 a 17a-6. La obligación incluye diseñar e implementar una metodología propia de evaluación de riesgos, identificar los factores de riesgo de la entidad, establecer controles proporcionales, revisar la metodología cada 12 meses y someter los resultados al Comité de Comunicación y Control.
Lo que cambió con la reforma del 16 de julio de 2025 es que el EBR se formalizó también para las actividades vulnerables (Art. 18, Fracción VII, LFPIORPI), que antes no lo tenían como obligación explícita. Esto cierra la brecha entre regímenes y refleja la presión del GAFI sobre México para pasar de un cumplimiento técnico a uno efectivo.
¿Cuál es la diferencia entre EBR y metodología de evaluación de riesgos?
Es una confusión frecuente y vale la pena aclararla:
El EBR es el principio rector: la obligación de aplicar un enfoque proporcional al riesgo. Es el "qué".
La metodología de evaluación de riesgos es la forma concreta de ejecutarlo: el proceso documentado para identificar, medir y mitigar los riesgos específicos de la entidad. Es el "cómo".
En términos simples: el EBR es la filosofía, y la metodología es el manual de operación que la hace funcionar. Una SOFOM sin metodología documentada no tiene EBR, aunque conozca el concepto.
¿Qué factores de riesgo debe evaluar la metodología?
Las DCG de la CNBV establecen que la metodología EBR de una SOFOM ENR debe identificar y evaluar los riesgos en cinco dimensiones:
Productos y servicios: ¿Cuáles de tus productos son más susceptibles de ser usados para lavar dinero? (créditos en efectivo, financiamiento a empresas, etc.)
Clientes y usuarios: ¿Qué tipo de clientes representa mayor riesgo? (PEPs, personas con actividad económica en sectores de alto riesgo, clientes nuevos sin historial, etc.)
Áreas geográficas: ¿En qué zonas opera la SOFOM? ¿Hay regiones con mayor índice de actividad criminal o menor trazabilidad financiera?
Tipos de transacciones: ¿Qué operaciones son más vulnerables? (operaciones en efectivo, montos altos, operaciones inusuales en frecuencia o tamaño)
Canales de distribución: ¿Cómo llegan los clientes? (presencial, digital, intermediarios, promotores externos)
Cada factor se evalúa en dos dimensiones: probabilidad de ocurrencia e impacto potencial, con niveles bajo, medio y alto. La combinación de ambas dimensiones genera la clasificación de riesgo de la entidad.
¿Cómo se traduce el EBR en el trato a cada cliente?
El resultado práctico del EBR es la clasificación de cada cliente en un nivel de riesgo, que a su vez determina el nivel de debida diligencia que se le aplica:
Nivel de riesgo | Tipo de debida diligencia | Qué implica |
|---|---|---|
Bajo | Simplificada | Identificación básica, monitoreo estándar |
Medio | Estándar | KYC completo, monitoreo regular |
Alto | Reforzada | Mayor verificación, origen de recursos, aprobación jerárquica, monitoreo intensificado |
PEP o lista | Reforzada obligatoria | Controles adicionales sin excepción |
Un dato relevante de la reforma al Reglamento LFPIORPI del 27 de marzo de 2026: quienes apliquen EBR y clasifiquen correctamente a sus clientes de bajo riesgo podrán aplicarles medidas de identificación simplificadas, lo que reduce la fricción en el alta de clientes que no representan riesgo significativo.
¿Con qué frecuencia debe revisarse la metodología EBR?
La metodología debe revisarse y actualizarse en dos supuestos:
Cada 12 meses, como mínimo, de forma regular.
Cuando se publique una nueva Evaluación Nacional de Riesgos (ENR) por parte de la SHCP, dado que la ENR es el insumo principal para entender el contexto de riesgo del país en que opera la financiera.
La información del EBR y sus resultados deben conservarse por un mínimo de 5 años. Los resultados se presentan al Comité de Comunicación y Control, donde el Oficial de Cumplimiento expone la metodología y sus conclusiones.
Errores comunes al implementar el EBR
Tener una metodología documentada que no se refleja en las políticas reales del manual de cumplimiento. La CNBV detecta esto cuando los criterios de riesgo no coinciden con la cartera real de clientes.
Usar una plantilla genérica no adaptada a la operación real de la SOFOM.
No actualizar la metodología cuando cambian los productos, los clientes o la geografía de la operación.
Clasificar a todos los clientes como de riesgo bajo sin un análisis real, para evitar la debida diligencia reforzada.
No conservar evidencia documentada de cómo se tomaron las decisiones de clasificación.
¿Por qué el EBR importa más allá del cumplimiento?
El EBR bien implementado tiene un beneficio operativo que va más allá de evitar multas. Las SOFOMes con programas de cumplimiento sólidos basados en riesgo acceden más fácilmente a líneas de fondeo bancario, establecen mejores condiciones con contrapartes y construyen una reputación ante el regulador que se traduce en inspecciones menos frecuentes y con menor fricción. También les permite concentrar sus recursos de cumplimiento donde realmente hay riesgo, en lugar de aplicar el mismo esfuerzo a todos por igual.
Cómo DIGID apoya el EBR en tu proceso de originación
El EBR no puede funcionar sin datos. La clasificación de riesgo de cada cliente depende de la calidad de la información que se recaba en el onboarding y de la capacidad de cotejarla contra fuentes externas en tiempo real.
En DIGID el onboarding genera automáticamente el insumo que el EBR necesita: identidad verificada con biometría, datos validados contra fuentes oficiales y cotejo simultáneo contra más de 1,300 listas de sanciones, listas de PEPs y medios adversos. Todo queda registrado en el expediente de identificación del cliente, conservado con constancia NOM-151 y auditable. El resultado es un perfil de cliente completo desde el primer contacto, listo para alimentar la matriz de riesgo de tu programa EBR. Si quieres ver cómo se integra en tu operación, escríbenos.
Preguntas frecuentes
¿Qué es el EBR en PLD? El Enfoque Basado en Riesgos es el principio que obliga a cada entidad a identificar, medir y mitigar sus riesgos de lavado de dinero de forma proporcional, aplicando controles más estrictos donde el riesgo es mayor y más ligeros donde el riesgo es menor.
¿El EBR es obligatorio para una SOFOM ENR? Sí. Las SOFOMes ENR tienen la obligación de aplicar un EBR conforme a las Disposiciones 17a-1 a 17a-6 de las DCG de la CNBV, desde antes de la reforma de 2025.
¿Cuál es la diferencia entre EBR y metodología de evaluación de riesgos? El EBR es el principio rector (el qué). La metodología de evaluación de riesgos es el proceso documentado para ejecutarlo (el cómo). Sin metodología documentada, no hay EBR.
¿Qué factores debe evaluar la metodología EBR? Productos y servicios, clientes y usuarios, áreas geográficas, tipos de transacciones y canales de distribución.
¿Con qué frecuencia se actualiza la metodología EBR? Cada 12 meses como mínimo, o cuando se publique una nueva Evaluación Nacional de Riesgos (ENR).
¿Qué pasa si una SOFOM no tiene metodología EBR documentada? Queda expuesta a sanciones de la CNBV, y en caso de auditoría, no puede demostrar que sus decisiones de cumplimiento tienen un fundamento técnico.
Última actualización: junio de 2026. Fuentes: Disposiciones de Carácter General aplicables a las SOFOMes ENR (Disposiciones 17a-1 a 17a-6), artículo 95 Bis de la LGOAAC, reforma a la LFPIORPI publicada en el DOF el 16 de julio de 2025 (Art. 18, Fr. VII), reforma al Reglamento LFPIORPI publicada en el DOF el 27 de marzo de 2026, y Recomendación 1 del GAFI.
