Una situación típica entre empresas que han optado por intentar cumplir con el tema de prevención de lavado de dinero (PLD) y que equivocadamente consideran como suficiente: contratar a alguien para que les haga “el manual”. Un manual (hay que decirlo, muchas veces de machote) llega a sus escritorios, va a un cajón o servidor y ahí se queda.

Eso no es un programa de cumplimiento, si acaso es un documento de cumplimiento aparente y la diferencia entre ambos tiene consecuencias que una verificación de la autoridad hace muy evidentes.

Qué significa el EBR en realidad para tu empresa

El Enfoque Basado en Riesgos (EBR) es la metodología que los estándares internacionales del Grupo de Acción Financiera Internacional (GAFI) y, desde 2025, la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI o coloquialmente “ley antilavado”) exigen a las empresas que realizan actividades vulnerables para identificar, evaluar y mitigar sus propios riesgos de lavado de dinero y financiamiento al terrorismo, de manera proporcional a su perfil de exposición.

Proporcional significa que no todas las empresas ni todas las relaciones con clientes tienen el mismo riesgo y eso es el factor principal de este enfoque, así como la ruta correcta para cumplir sin paralizar las operaciones de tu empresa injustificadamente.

Una empresa constructora que opera con clientes residenciales de perfil estándar y pagos bancarizados no tiene el mismo perfil que una que realiza desarrollos turísticos de alto valor con capital mixto y componentes relevantes de efectivo o perfiles relevantes de sus clientes. El EBR permite hacer esa distinción, aplicando controles robustos donde el riesgo es real, pero sin sobrecargar donde no lo es.

Lo que ha cambiado con las últimas reformas

Las últimas reformas a la LFPIORPI y su Reglamento elevaron al EBR de considerarse una práctica recomendada a una obligación explícita. Tampoco basta con haberlo diseñado alguna vez, debe estar documentado, actualizado y demostrar que la empresa que realiza actividades vulnerables conoce su perfil de riesgo real y que ese conocimiento se traduce en controles que funcionan.

El Reglamento reformado también amplió las facultades de supervisión del Servicio de Administración Tributaria (SAT) en materia de prevención de lavado de dinero. Lo que antes podía revisarse de manera esporádica está ahora sujeto a un mecanismo de verificación más sistemático.

Qué debe decirte tu EBR en la práctica

Un EBR bien diseñado debe responder a cuatro preguntas que cualquier auditor o verificador de la autoridad puede plantearte:

• ¿Conoces a tus clientes y cuál es su perfil de riesgo? La Debida Diligencia o Due Dilligence en la identificación de tu cliente y del beneficiario controlador en tus operaciones es el mecanismo que responde esta pregunta con evidencia documental.
• ¿Sabes qué actividades realizas y cuáles activan obligaciones de PLD? El mapa de actividades vulnerables de tu empresa debe estar documentado y revisado, no asumido ni únicamente en la mente del director o de quienes operan.
• ¿Tienes controles activos para las áreas de riesgo que identificaste? Un control que no se ejecuta, no se registra ni se supervisa, simplemente no existe para efectos de una verificación formal.
• ¿Puedes demostrarlo? La documentación es la única forma de responder esta pregunta ante una eventual verificación del SAT.

Si curiosamente ya cuentas con un manual de PLD sin nunca haber hecho previamente una Evaluación con un Enfoque Basado en Riesgos de tu empresa, actividades y clientes, existen brechas que deben identificarse y mitigarse. Si efectuaste esa Evaluación con EBR previo a la elaboración de tu manual, enhorabuena.

La ceguera corporativa o la trampa del “ya lo hicimos”

El EBR es un sistema que se actualiza constantemente cuando cambian las condiciones que evalúan, como cuando entra un nuevo tipo de cliente, cuando la empresa crece hacia un sector adicional o cuando hay cambios regulatorios; no es simplemente un proyecto que se hace una vez. La actualización de las Reglas de Carácter General en materia de PLD, pendiente de publicación con plazo en julio de 2026, será exactamente el tipo de cambio que activará la revisión obligatoria de tu EBR.

Una empresa que diseñó su EBR hace dos años y no lo ha revisado, más que un EBR funcional, solo tiene un documento histórico.

No solo deberías preguntarte si tu empresa tiene un programa de PLD, sino si ese programa funciona actualmente, con los controles de hoy y si ante una verificación del SAT podrías demostrarlo.

Si la respuesta genera alguna duda, ya tienes la agenda de la siguiente conversación.