La reforma a las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita introduce uno de los cambios más relevantes en el modelo de cumplimiento aplicable a las Actividades Vulnerables: la obligación de diseñar e implementar una metodología de Enfoque Basado en Riesgos (EBR).
El cambio es importante porque la prevención de lavado de dinero deja de descansar únicamente en obligaciones relativamente uniformes (i.e. identificar al cliente, integrar expedientes, acumular operaciones y presentar Avisos) para exigir que cada sujeto obligado determine cuáles son sus propios riesgos, qué tan relevantes son, qué controles tiene para mitigarlos y si éstos resultan suficientes. En ese sentido, el Capítulo II Quáter constituye el eje metodológico del nuevo sistema.
La evaluación no termina al llenar una matriz e incorporarla al expediente de cumplimiento, sino que deberá relacionarse con las operaciones reales de la empresa y sus resultados deberán tener consecuencias en los controles, políticas e incluso en determinadas decisiones comerciales.
¿Qué es un Enfoque Basado en Riesgos? Un EBR consiste en identificar dónde existe mayor posibilidad de que una empresa que realiza Actividades Vulnerables pueda ser utilizada para operaciones de lavado de dinero, financiamiento de organizaciones delictivas u otros ilícitos relacionados, medir esa exposición y concentrar los controles más intensos precisamente donde el riesgo sea mayor.
La lógica es distinta a la de aplicar exactamente las mismas medidas a todos los clientes y operaciones.
Una empresa que desarrolla inmuebles, por ejemplo, puede tener clientes nacionales que adquieren unidades mediante financiamiento bancario y otros clientes extranjeros que aportan recursos desde diversas jurisdicciones mediante estructuras corporativas. Aunque ambos realicen una operación inmobiliaria, su exposición al riesgo difícilmente será idéntica, y el EBR busca justamente identificar esas diferencias.
La reforma exige que quienes realicen Actividades Vulnerables diseñen e implementen una metodología que considere los actos u operaciones, las personas Clientes o Usuarias, sus transacciones y los canales de envío o distribución, y que describa los procesos utilizados para la identificación, análisis, entendimiento, medición y mitigación de los riesgos. También deberá considerarse la información aplicable de la Evaluación Nacional de Riesgos que dé a conocer la UIF.
La metodología, por tanto, debería permitir contestar cinco preguntas fundamentales:
¿Qué riesgos existen? ¿Por qué existen? ¿Qué tan importantes son? ¿Qué controles existen para reducirlos? ¿Qué riesgo permanece después de aplicar esos controles? Alcance del enfoque basado en riesgos En esta publicación se trata específicamente de la Evaluación Basada en Riesgos realizada respecto a la entidad. En efecto, la normativa distingue dos tipos de evaluación de riesgo distintas, tal como indica la propia LFPIORPI[*]:
Artículo 18. Quienes realicen las Actividades Vulnerables a que se refiere el artículo anterior tendrán las obligaciones siguientes: […] VII. Llevar a cabo una evaluación con un enfoque basado en Riesgos, en términos de las reglas de carácter general que al efecto emita la Secretaría, que les permita identificar, analizar, entender y mitigar sus Riesgos, así como los de las personas Clientes o Usuarias;
Nótese que la intención el enfoque consiste en la “identificar, analizar, entender y mitigar” riesgos de:
La entidad que realiza la Actividad Vulnerable Los clientes o usuarios de la persona que realiza la Actividad Vulnerable De lo anterior puede derivarse la siguiente tabla comparativa:
Concepto Evaluación del riesgo de la entidad que realiza la Actividad Vulnerable Evaluación del riesgo de la persona Cliente o Usuaria Reglas relacionadas en las RCG Capítulo II Quáter: Enfoque Basado en Riesgos, particularmente los artículos 10 Septies a 10 Septies 6. Capítulo III: Identificación de la persona Cliente o Usuaria; Capítulo III Bis: Clasificación del Grado de Riesgo; y Capítulo III Ter: Conocimiento de la persona Cliente o Usuaria. Objeto principal Identificar, analizar, entender, medir y mitigar los Riesgos a los que está expuesto el sujeto obligado por razón de la Actividad Vulnerable que realiza, su modelo de negocio, sus operaciones, sus canales y su base de clientes. Determinar el Grado de Riesgo individual de cada Cliente o Usuaria, como mínimo en bajo, medio o alto, y ajustar la debida diligencia, monitoreo y conocimiento del cliente conforme a esa clasificación. Unidad de análisis La entidad o persona que realiza la Actividad Vulnerable, considerada en conjunto: su operación, volumen, productos o servicios, canales, geografía, transacciones y controles. Cada Cliente o Usuaria en lo individual, incluyendo sus características inherentes, perfil transaccional, comportamiento, origen y destino de recursos y, en su caso, condición de PEP o vínculo con jurisdicciones de mayor riesgo. Resultado esperado Un diagnóstico del nivel de exposición de la entidad y de la suficiencia de sus Mitigantes, que permita mantener los Riesgos dentro de un nivel de tolerancia aceptable. Una clasificación individual del Cliente o Usuaria por Grado de Riesgo, que determina si procede debida diligencia simplificada, ordinaria o reforzada. Relación entre ambas Funciona como la arquitectura general de administración de Riesgos del sujeto obligado. Debe ser coherente con la metodología institucional, pero no la sustituye.
La presente publicación se enfoca en la Evaluación de la entidad en su conjunto.
¿Qué elementos debe considerar la metodología? El Artículo 10 Septies 1 establece cuatro grandes elementos que deberán analizarse como mínimo:
Actos u operaciones Tipo de Clientes o Usuarias Países y áreas geográficas Transacciones y canales de envío o distribución La regla no se limita a pedir que estos elementos aparezcan en una matriz. Exige identificar indicadores asociados a cada uno de ellos que expliquen cómo y en qué medida generan exposición al riesgo.
“Clientes” es un elemento de riesgo. Pero dentro de ese elemento pueden existir indicadores como residencia en el extranjero, actividad económica, utilización de estructuras societarias complejas, participación de fideicomisos, condición de PEP, dificultades para identificar al Beneficiario Controlador o incongruencias entre capacidad económica y operación realizada.
Lo mismo ocurre con el elemento geográfico. No basta colocar una columna denominada “geografía”. Deberá definirse qué circunstancias geográficas incrementan o disminuyen el riesgo: país de residencia, origen o destino de recursos, jurisdicciones identificadas como de mayor riesgo, régimen fiscal preferente, zonas en las que opere la empresa u otros factores pertinentes a su actividad.
Por tanto, la metodología debe construirse desde la realidad específica de cada empresa y no mediante una matriz genérica aplicable indistintamente a cualquier Actividad Vulnerable.
Una forma práctica de construir el EBR Las reglas determinan los componentes mínimos, pero no proporcionan una fórmula matemática específica. Esto permite construir diferentes metodologías siempre que sean consistentes y puedan explicarse y verificarse.
Una empresa podría comenzar identificando sus factores de riesgo y después dividir cada factor en indicadores concretos.
Por ejemplo, una desarrolladora inmobiliaria podría estructurar inicialmente su análisis de esta forma:
Elemento Posibles indicadores Clientes Tipo de persona, residencia, actividad económica, estructura corporativa, PEP, Beneficiario Controlador Operaciones Monto, forma de adquisición, frecuencia, pagos anticipados, participación de terceros Geografía Residencia del cliente, origen de recursos, jurisdicciones involucradas Transacciones Forma de pago, cuentas utilizadas, moneda, origen y destino de recursos Canales Presencial, intermediarios, medios electrónicos, operaciones a distancia
Estos indicadores no están establecidos literalmente en esa configuración por las reglas; constituyen un ejemplo de implementación construido a partir de los elementos mínimos que sí exige el Artículo 10 Septies 1. La metodología concreta tendría que adaptarse a la Actividad Vulnerable y al modelo de negocio de cada sujeto.
El siguiente paso sería asignar un valor a cada indicador, para lo cual la regulación exige precisamente utilizar un método que establezca una relación entre los indicadores y sus elementos y asignarles valores de manera consistente en función de su importancia para describir el riesgo. También deberá asignarse un valor a cada uno de los elementos.
Esto significa que en el modelo debe existir una regla previamente definida que permita reproducir el resultado, y no limitarse a apreciaciones como “este factor parece riesgoso”.
Por ejemplo, podría utilizarse una escala donde determinadas circunstancias reciban valores progresivamente mayores y posteriormente asignar una ponderación diferente a cada elemento. Lo importante no es que todas las empresas utilicen la misma escala, pues la norma no la establece, sino que la asignación sea consistente, justificable y trazable.
Del riesgo inherente al riesgo residual Una vez medido el riesgo inicial, la empresa deberá identificar los Mitigantes que ya tenga implementados.
Las reglas definen como Mitigantes las políticas, criterios, medidas y procedimientos que contribuyan a administrar y disminuir la exposición a los riesgos identificados.
Podrían considerarse, dependiendo de la empresa, medidas como procedimientos reforzados de identificación, validación del Beneficiario Controlador, restricciones al uso de efectivo, verificación de origen de recursos, aprobación directiva de operaciones de alto riesgo, monitoreo transaccional, sistemas de alertas o controles sobre determinadas jurisdicciones.
Pero nuevamente hay una exigencia adicional: no basta con que el control exista en el Manual. El Artículo 10 Septies 1 ordena considerar su efectiva aplicación para determinar qué efecto produce sobre los indicadores y elementos de riesgo.
Conceptualmente la evaluación se construiría a partir del riesgo identificado, su medición, los controles o mitigantes, luego la evaluación de su efectividad, para llegar al riesgo resultante.
Este último resultado sería lo que técnicamente puede entenderse como riesgo residual: el riesgo que permanece después de considerar los controles.
Esta distinción tendrá una enorme importancia frente a una revisión. Una empresa puede tener una exposición inherente elevada y, sin embargo, administrar adecuadamente ese riesgo mediante controles robustos. Lo relevante será poder demostrar cómo llegó a esa conclusión.
Este procedimiento está contenido en la Guía para la Elaboración de una Metodología de Evaluación de Riesgos en Materia de Prevención de Operaciones con Recursos de Procedencia Ilícita y Financiamiento al Terrorismo, emitida por la CNBV.
La información histórica será indispensable La metodología tampoco puede construirse exclusivamente a partir de apreciaciones cualitativas. El Artículo 10 Septies 2 exige utilizar, como mínimo, la siguiente información correspondiente a un período no menor a doce meses:
Número de Clientes o Usuarias Número de actos u operaciones Monto operado Para empresas nuevas que todavía no cuenten con ese historial se permite utilizar inicialmente datos proyectados, pero la metodología deberá actualizarse una vez que se cumplan los primeros doce meses de operación. Esto obliga a mirar con especial atención la calidad de las bases de datos.
Un EBR puede estar metodológicamente bien diseñado y, sin embargo, producir resultados incorrectos si la información que lo alimenta es incompleta, duplicada o inconsistente. Por ello, los análisis proporcionados recomiendan establecer controles de gobierno de datos, fuentes maestras, validaciones, bitácoras de cambios y conciliaciones.
No solamente se evalúa lo que ya existe Uno de los aspectos más interesantes de la reforma es que el EBR también tendrá una función preventiva respecto de nuevas líneas de negocio.
Antes de implementar nuevos medios, canales, modalidades, productos o servicios, o de dirigir la Actividad Vulnerable a nuevos tipos de clientes, deberá realizarse previamente una evaluación de los riesgos asociados.
Esto cambia el lugar que ocupa el cumplimiento dentro de la organización. Ya no necesariamente deberá intervenir únicamente después de que se realice una operación. Determinadas decisiones comerciales deberán incorporar una evaluación PLD antes de su lanzamiento.
Por ejemplo, si una inmobiliaria decide comenzar a aceptar compradores mediante una plataforma completamente digital o dirigirse a inversionistas de determinados países, la nueva modalidad debería ser analizada previamente desde la perspectiva del riesgo.
El EBR debe producir consecuencias La metodología no puede convertirse en un ejercicio académico. Si sus resultados revelan nuevos o mayores riesgos, las reglas obligan a modificar las políticas, criterios, medidas y procedimientos para establecer los Mitigantes necesarios y mantener la exposición dentro de un nivel de tolerancia aceptable.
Además, la metodología deberá revisarse cuando aparezcan nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos o, como máximo, dentro de los doce meses posteriores a contar con los resultados de su implementación. Las revisiones y actualizaciones deberán documentarse por escrito.
Existe incluso una conexión directa con las decisiones comerciales: los criterios para abrir, limitar o terminar una relación con un cliente deberán ser congruentes con la metodología de riesgos. El SAT podrá revisar esa congruencia y señalar ajustes o solicitar planes de acción reforzados.
Éste quizá sea uno de los efectos más importantes de la reforma. El resultado del EBR no puede quedarse archivado. Debe modificar la manera en que opera la empresa.
¿Qué faltó precisar en las reglas? Aquí se encuentra probablemente una de las áreas que generará mayor discusión práctica. Las nuevas disposiciones describen qué debe contener la metodología, pero dejan una considerable libertad respecto de cómo debe construirse matemáticamente. Esta observación deriva del propio texto normativo: se exige identificar indicadores, asignar valores consistentemente y valorar Mitigantes, pero no se establece una fórmula, escala o ponderación obligatoria.
No se precisa, por ejemplo, si deben utilizarse escalas de tres, cinco o más niveles; tampoco qué ponderación corresponde a clientes, geografía, operaciones o canales, ni cómo debe convertirse el resultado numérico en un nivel determinado de riesgo.
Esto probablemente es deliberado, pues un enfoque basado en riesgos perdería buena parte de su sentido si se impusiera una matriz idéntica a una joyería, una inmobiliaria, un prestador de servicios profesionales y un proveedor de activos virtuales. Sin embargo, esa flexibilidad también crea incertidumbre jurídica, pues la autoridad podrá posteriormente valorar si la metodología fue adecuada.
Existe otro concepto relevante que las reglas utilizan, pero no desarrollan suficientemente: el “nivel de tolerancia aceptable”. Se exige modificar los Mitigantes para mantener el riesgo dentro de ese nivel, pero no se establece cómo debe determinarse, quién debe aprobarlo ni cuáles serían sus parámetros. La regulación parece trasladar esa definición al propio sujeto obligado.
Tampoco se establece expresamente qué órgano de la empresa debe aprobar formalmente la metodología, si debe hacerlo el consejo de administración, la dirección general, el Representante Encargado de Cumplimiento u otro órgano. Desde una perspectiva de control y evidencia, parece recomendable que exista una aprobación documentada por el nivel de gobierno adecuado, particularmente porque la metodología puede incidir en decisiones de apertura o terminación de relaciones comerciales; sin embargo, ese procedimiento de aprobación no está expresamente desarrollado en estas reglas.
Algo similar ocurre con la efectividad de los Mitigantes. La norma exige considerar su efectiva aplicación, pero no define exactamente cómo deberá probarse ni con qué periodicidad debe evaluarse individualmente cada control. Esto probablemente terminará adquiriendo mayor precisión a través de la auditoría, de la supervisión del SAT y de los lineamientos o mejores prácticas que posteriormente emita la UIF.
También queda pendiente un mayor desarrollo sobre cómo incorporar concretamente la Evaluación Nacional de Riesgos. La regla obliga a tomar en cuenta la información aplicable al contexto de cada Actividad Vulnerable, pero no establece una fórmula para traducir los riesgos nacionales identificados por la UIF a la matriz particular de cada empresa.
Finalmente, tampoco se desarrolla con suficiente detalle la relación matemática entre el EBR institucional y el modelo individual de clasificación de clientes. La norma exige que ambos sean coherentes, pero será el propio sujeto obligado quien tenga que construir el puente metodológico entre uno y otro.
Estas áreas abiertas no significan que la obligación sea inaplicable. Significan que existe un espacio relevante de criterio técnico que deberá ser documentado y defendible.
Consideraciones finales El Enfoque Basado en Riesgos modifica profundamente la lógica de cumplimiento de las Actividades Vulnerables. Hasta ahora podía existir la percepción de que el cumplimiento consistía fundamentalmente en saber si una operación superaba un umbral, integrar correctamente el expediente y presentar el Aviso correspondiente. La reforma agrega una pregunta previa y mucho más amplia: ¿cuáles son los riesgos particulares de que este negocio sea utilizado para operaciones ilícitas y qué está haciendo la empresa para administrarlos?
La respuesta ya no podrá ser exclusivamente narrativa. Las reglas exigen indicadores, valores, información histórica, Mitigantes, revisiones periódicas y congruencia entre los resultados de la metodología y las medidas implementadas.
Paradójicamente, uno de los mayores retos deriva precisamente de la flexibilidad que conserva la regulación. La autoridad establece los elementos mínimos, pero no entrega una fórmula predeterminada. Cada sujeto obligado deberá construir su propia metodología y, con ello, asumir la responsabilidad de justificar técnicamente por qué sus factores, indicadores, ponderaciones, controles y niveles de riesgo son razonables.
En ese contexto, la calidad del EBR no dependerá de que la matriz sea especialmente sofisticada, sino de que pueda reconstruirse su lógica: de dónde provienen los datos, por qué se eligieron determinados factores, cómo fueron ponderados, qué controles disminuyen el riesgo, qué evidencia demuestra su funcionamiento y qué decisiones se adoptaron como consecuencia de los resultados.
Esa trazabilidad probablemente será el verdadero parámetro con el que, en una futura revisión o auditoría, podrá distinguirse entre una metodología diseñada únicamente para cumplir formalmente con la regla y un auténtico sistema de administración de riesgos.