Matriz de Riesgo PLD: Evaluar Clientes Bajo LFPIORPI 2026

¿Qué es la matriz de riesgo PLD?

La matriz de riesgo PLD es un instrumento metodológico que permite a los sujetos obligados —entidades financieras y quienes realizan actividades vulnerables— clasificar a cada cliente según su exposición al lavado de dinero, y operar controles proporcionales a ese nivel. Es el componente operativo más visible del Enfoque Basado en Riesgo.

Su construcción cruza dos planos: los factores propios de la entidad (productos, zonas geográficas, tipo de clientes, transacciones) y las características específicas del cliente que se evalúa. El resultado es una calificación numérica o cualitativa que determina, por ejemplo, si ese cliente requiere debida diligencia simplificada, estándar o reforzada.

Matriz de riesgo de la empresa vs matriz de riesgo del cliente

Respuesta directa: no son lo mismo y la CNBV exige que sean instrumentos distintos. La metodología de evaluación de riesgos (el EBR) mide la exposición de toda la entidad; el modelo de clasificación de riesgo de clientes mide el riesgo específico de cada cliente. Deben ser coherentes en sus resultados, pero independientes en su construcción.

"La clasificación que los Sujetos Supervisados realicen de sus Clientes y/o Usuarios por su Grado de Riesgo... debe ser coherente con los resultados de la implementación de la Metodología de Evaluación de Riesgos. Sin embargo... la Metodología de Evaluación de Riesgos... deberá ser distinta e independiente al modelo o criterios utilizados para clasificar a sus Clientes y/o Usuarios por Grado de Riesgo; ya que la primera le servirá para medir el Riesgo al que se encuentra expuesto como Sujeto Supervisado y el segundo es utilizado para medir el Riesgo específico de cada Cliente o Usuario en lo particular."

Nota terminológica útil para leer disposiciones y guías: la normativa no usa la frase "matriz de riesgo de clientes" — habla del modelo de clasificación de riesgo de clientes (a veces solo "modelo de riesgo"); cuando dice "metodología", se refiere al enfoque basado en riesgos de la entidad. Uno de los errores más frecuentes en visitas de verificación es confundir ambos instrumentos.

Las dos matrices deben ser congruentes entre sí y con el manual de cumplimiento. Si el manual define que un cliente con cierto perfil es de alto riesgo y el sistema lo clasifica como medio, hay una inconsistencia que se convertirá en hallazgo en la próxima visita de verificación. La congruencia no exige que ambas matrices sean idénticas ni que compartan los mismos elementos y ponderaciones — la Guía CNBV pide expresamente que sean instrumentos distintos e independientes. Lo que sí exige es que los resultados se comuniquen: si el EBR califica un estado, una actividad económica o un canal como de mayor riesgo, esa calificación debe reflejarse con una equivalencia en los factores del modelo de clientes.

¿Cuáles niveles de riesgo puede establecer la entidad para sus clientes?

Depende del sector. El material oficial de la CNBV agrupa a los sujetos supervisados en tres bloques:

• Bloque A (organizaciones y actividades auxiliares del crédito, casas de bolsa, asesores en inversión, entidades de ahorro y crédito popular, SOCAPs, fondos de inversión, uniones de crédito): personas físicas alto y bajo; personas morales y fideicomisos alto, medio y bajo.
• Bloque B (instituciones de crédito, con el modelo del Anexo 3 de sus disposiciones): alto, bajo y al menos un nivel intermedio obligatorio.
• Bloque C (instituciones de tecnología financiera): alto, medio y bajo, con niveles intermedios opcionales.

Para actividades vulnerables la LFPIORPI no fija una escala; el criterio práctico es no manejar más niveles de los que puedas diferenciar operativamente, porque cada nivel exige medidas distintas de identificación y seguimiento.

Dos diferencias técnicas que los verificadores revisan

1. El impacto no se traslada al cliente. La Guía CNBV define la medición del EBR como probabilidad de ocurrencia (no frecuencia de eventos) por impacto medido como concentración del negocio — no como montos de multas. Esa concentración es una proporción de la cartera (porcentaje de clientes, de operaciones o de monto operado): aplicarla a un cliente individual no tiene sentido matemático. En el modelo de clientes se trabaja con la calificación de los factores del cliente, no con el impacto agregado.

2. Los mitigantes operan diferente. En el EBR, los mitigantes (manual, estructuras internas, capacitación, auditoría) se aplican al cálculo para obtener el riesgo residual. En el modelo de clientes los mitigantes no recalculan el nivel: son las medidas diferenciadas que se detonan según el grado asignado — identificación reforzada, información adicional y mayor frecuencia de actualización del perfil transaccional para el riesgo alto; medidas simplificadas donde las disposiciones lo permiten para el riesgo bajo.

Marco legal: LFPIORPI, DCG SOFOMes y GAFI Recomendación 1

La obligación de contar con una matriz de riesgo PLD nace de tres fuentes normativas distintas, dependiendo del régimen del sujeto obligado.

Para actividades vulnerables (LFPIORPI)

La fracción VII del artículo 18 de la LFPIORPI, adicionada por la reforma publicada en el DOF el 16 de julio de 2025, introduce la obligación de realizar una evaluación con Enfoque Basado en Riesgo (EBR). Los términos y condiciones específicos se definirán en las Reglas de Carácter General que la SHCP debe emitir a más tardar el 16 de julio de 2026 (Transitorio Segundo de la reforma).

Para SOFOMes ENR (DCG CNBV)

Las Disposiciones de Carácter General a que se refiere el artículo 95 Bis de la LGOAAC, en su Capítulo II Bis "Enfoque Basado en Riesgos" (Disposiciones 17a-1 a 17a-5), obligan a las Sociedades a diseñar e implementar una metodología de evaluación de riesgos. La Disposición 21a exige clasificar a cada cliente en, como mínimo, dos grados (alto y bajo) para personas físicas y tres (alto, medio y bajo) para personas morales y fideicomisos, con criterios definidos en el manual de cumplimiento.

Para todos: GAFI Recomendación 1

La Recomendación 1 del GAFI es el origen internacional del Enfoque Basado en Riesgo. Establece que los países y sus sujetos obligados deben identificar, evaluar y entender sus riesgos de lavado de activos y financiamiento del terrorismo, y aplicar medidas proporcionales a ese riesgo. Para entender el marco completo, consulta nuestra guía sobre el EBR aplicado a PLD en México.

Los 4 elementos de riesgo del cliente

Toda matriz de riesgo PLD —ya sea de actividades vulnerables o de entidades financieras— se construye sobre los mismos cuatro elementos centrales. Cada uno aporta una dimensión distinta del riesgo y se compone de varios indicadores específicos.

La Evaluación Nacional de Riesgos 2023 y las tipologías que publica periódicamente la UIF son insumos obligatorios para definir indicadores específicos de cada elemento. Por ejemplo, la ENR 2023 identificó 37 factores de riesgo que cualquier matriz de cliente debería incorporar como referencia.

Características inherentes vs transaccionales del cliente

Dentro del elemento "Clientes" (y de manera transversal a los otros tres), las características que alimentan la matriz se agrupan en dos categorías que conviene tratar por separado:

Indicadores y ponderaciones: cómo asignarles peso

Una vez definidos los indicadores dentro de cada elemento, el siguiente paso es ponderar su peso relativo. La ponderación responde a una pregunta práctica: ¿qué elementos importan más para mi tipo de operación?

Por ejemplo, una arrendadora de inmuebles en zona fronteriza otorgará más peso al elemento "Zonas geográficas" que una agencia de viajes en CDMX. Una SOFOM ENR que opera crédito automotriz dará más peso al elemento "Productos y servicios". No existe una ponderación universal: cada entidad la define con base en su realidad operativa y su manual de cumplimiento.

Reglas prácticas para ponderar:

• La suma de las ponderaciones de los 4 elementos debe dar 100%.
• Cada indicador dentro de un elemento también se pondera (también suma 100% dentro de su elemento).
• La ponderación debe documentarse y justificarse técnicamente, no asignarse al gusto.
• Debe revisarse en cada ciclo de valoración anual o ante cambios materiales de la operación.

Probabilidad × Impacto: los dos ejes obligatorios

La práctica estándar —recomendada por la guía de metodología EBR de la CNBV y consistente con la Recomendación 1 del GAFI— es medir cada riesgo en dos dimensiones simultáneas:

• Probabilidad de ocurrencia: qué tan factible es que ese riesgo se materialice (escala 1 a 5).
• Impacto o consecuencia: qué tan grave sería si ocurriera (escala 1 a 5).

El cruce de ambos produce una calificación final del 1 al 25, que se traduce en niveles de riesgo. Muchos sistemas comerciales solo permiten capturar un valor único (probabilidad o impacto, no ambos), lo cual es una deficiencia técnica documentada por auditores: obliga a usar un archivo Excel paralelo donde sí se calcula la fórmula completa, y solo se carga el resultado final al sistema.

Los cortes numéricos 1-6 / 7-14 / 15-25 son una convención común en metodologías PLD; cada entidad debe documentar en su manual los umbrales propios que utilice y justificarlos técnicamente.

¿Cuándo un cliente es alto riesgo de manera automática?

No todos los clientes alto riesgo se identifican por suma de factores. Para el sector financiero, las disposiciones marcan supuestos en los que la clasificación es automática; para actividades vulnerables, en cambio, la ley no establece supuestos automáticos y todo se determina por la metodología propia de cada entidad.

Para los clientes que no caen en estos supuestos automáticos, el flujo es por suma de factores: cada indicador captado del cliente aporta puntos a su calificación final, y se llega a alto riesgo solo cuando la suma supera el umbral definido. Por ejemplo, una persona vinculada a un país de riesgo GAFI puede partir de bajo, subir a medio al combinarse con una actividad económica sensible y llegar a alto cuando se suma un perfil transaccional incongruente con el declarado.

Cuando un oficial de cumplimiento detecta —por noticias, reportes externos, listas restrictivas o investigaciones internas— que un cliente clasificado como bajo o medio por el sistema debe estar en alto, puede modificar la clasificación manualmente. El sistema debe permitir esa intervención y exigir justificación documentada (captura de pantalla, enlace al reporte, descripción del hallazgo) que quede como evidencia. El cambio se asienta en el acta mensual del Comité de Comunicación y Control o del oficial de cumplimiento, según corresponda.

Niveles de riesgo: cualitativo, cuantitativo o mixto

La matriz de riesgo PLD puede expresarse en tres formas, todas válidas siempre que se mantenga coherencia:

• Cualitativa: usa categorías (bajo, medio, alto). Más simple, menos precisa. Recomendada para entidades pequeñas.
• Cuantitativa: usa escalas numéricas (1 a 5 o 1 a 25). Más precisa, exige justificación técnica. Recomendada para entidades medianas y grandes.
• Mixta: combina números y categorías (ej. 1–6 = bajo, 7–14 = medio). Es la más usada en la práctica porque facilita comunicación interna sin sacrificar precisión.

Lo crítico es que la matriz del cliente y la metodología EBR de la entidad usen la misma escala. Si la metodología pondera del 1 al 5 y el sistema clasifica con categorías de "bajo/medio/alto" sin equivalencia numérica documentada, se rompe la comparación entre las dos matrices y los hallazgos son inevitables en auditoría.

Para actividades vulnerables (LFPIORPI) no existe regla equivalente hasta que se publiquen las RCG; la práctica recomendada es operar con al menos tres grados (alto, medio y bajo) como preparación anticipada.

Una práctica complementaria que conviene formalizar es la segmentación de la matriz: un documento separado que justifica ante el auditor —interno, externo o de la CNBV— las razones por las que cada factor de riesgo recibe el peso que se le asigna. Sirve como evidencia técnica de la calibración de la matriz y respalda cualquier ajuste futuro derivado de la evaluación de riesgos de la entidad. Documentar la segmentación es lo que diferencia una matriz auditable de una matriz que se construyó "al gusto".

Nota: estos grados mínimos definen la estructura de la escala que la matriz debe ofrecer. Son distintos de los supuestos de alto riesgo automático que se listan más arriba: aquellos son detonantes específicos que clasifican al cliente como alto sin importar la escala; esto es el número mínimo de niveles que la entidad debe ofrecer en su matriz.

Las 5 pruebas de autoevaluación de tu matriz

Cuando un oficial de cumplimiento o un auditor independiente evalúa la matriz de riesgo del cliente —sea como preparación interna previa a una visita del SAT o de la CNBV, o como parte del ejercicio anual de valoración— aplica un conjunto consistente de pruebas. La lista que sigue está basada en la metodología de evaluación de sistemas automatizados de GMC360 y refleja la práctica habitual de auditoría PLD en México.

Reprobar cualquiera de estas pruebas en una auditoría interna o en una visita de verificación abre la puerta a hallazgos y, eventualmente, al procedimiento sancionador. La autocorrección antes de visita (Art. 55 LFPIORPI y Art. 55 Bis del Reglamento) permite subsanar sin sanción, pero solo si se actúa antes de que inicie la inspección. La fracción XI del artículo 18 (post-reforma) exige además auditoría externa independiente para los sujetos obligados de actividades vulnerables que en su metodología EBR detecten alto riesgo.

"Si no está documentado, no existe." — Frase recurrente en auditorías PLD que resume el criterio probatorio frente al SAT, la CNBV y la UIF: por más que la entidad haya ejecutado un control, si no hay evidencia escrita y trazable, la autoridad no puede darlo por hecho.

Errores recurrentes documentados por auditores que conviene anticipar:

• Limitarse al mínimo legal: "si no estoy obligado, ¿para qué lo hago?" — las guías de la UIF no son obligatorias en sentido estricto, pero su omisión es bandera roja para el auditor.
• Forzar todos los clientes a riesgo bajo para evitar el trabajo operativo de la debida diligencia reforzada. Es el hallazgo más fácil de detectar con la prueba 3 (cliente de alto riesgo de prueba).
• Aplicar las mismas medidas de debida diligencia a todos los clientes, sin diferenciar por nivel de riesgo. Anula el sentido de la matriz.
• Expedientes de cien hojas que no aportan: mayor volumen no equivale a mayor cumplimiento.
• "Información adicional" sin definir documentos concretos: el manual dice que se pide información adicional pero no especifica cuál, dejando un vacío imposible de auditar.
• Manual dice X, entidad hace Y: incongruencia entre lo escrito y lo operado, el hallazgo más común.

Congruencia entre manual, metodología, matriz y sistema

El hallazgo más frecuente en auditorías de PLD no es la ausencia de matriz, sino la incongruencia entre fuentes. El manual de cumplimiento dice una cosa, la metodología EBR dice otra y el sistema automatizado hace una tercera. Tres documentos con la misma firma del oficial de cumplimiento, contradiciéndose entre sí.

La alineación correcta sigue este orden lógico:

1. El manual de cumplimiento define las políticas, los criterios de riesgo y las categorías de cliente.
2. La metodología EBR traduce el manual en factores, indicadores, ponderaciones y escalas medibles.
3. La matriz de riesgo del cliente aplica esa metodología a cada expediente individual.
4. El sistema automatizado ejecuta la matriz, almacena resultados y genera alertas con los mismos criterios.

Si alguno de estos cuatro componentes cambia, los demás deben actualizarse en el mismo ciclo. Por eso la valoración anual obligatoria no es solo de la metodología, sino de toda la cadena.

Diferencias por régimen: Actividades Vulnerables vs SOFOM ENR

Aunque el concepto de matriz de riesgo PLD es transversal, los regímenes tienen diferencias importantes que conviene tener claras.

Aun con estas diferencias, las cuatro categorías de elementos (clientes, productos, zonas, transacciones) y la metodología probabilidad × impacto son comunes. Una entidad que opera bajo ambos regímenes —por ejemplo, una SOFOM ENR que también factura como fedatario— mantiene una sola matriz de riesgo del cliente, pero con dos canales de reporte diferenciados.

Integración con el sistema automatizado

La matriz de riesgo PLD no es un documento Excel guardado en una carpeta. Es una funcionalidad operativa que tu sistema automatizado debe ejecutar en tiempo real cada vez que se crea o actualiza un expediente de cliente.

Las funciones mínimas que el sistema debe proveer son:

• Capturar los datos del cliente (tipo de persona, geografía, productos contratados, perfil transaccional).
• Aplicar los pesos definidos en la metodología a cada indicador.
• Calcular probabilidad e impacto y devolver una calificación numérica o cualitativa.
• Asignar automáticamente el nivel de riesgo y disparar la debida diligencia correspondiente.
• Solicitar información y documentos adicionales para clientes clasificados como alto riesgo.
• Mantener una bitácora de cada cálculo para evidencia en auditoría.
• Recalibrar la matriz cuando se actualizan parámetros sin perder el histórico.
• Para sector financiero (SOFOMes ENR), utilizar mínimo doce meses de información histórica para alimentar el modelo, conforme exige la Disposición 17a-3 de las DCG. Para actividades vulnerables, el plazo equivalente se definirá en las Reglas de Carácter General pendientes; como buena práctica anticipada se recomienda el mismo horizonte.

Plazos, sanciones y Reglas de Carácter General

Para actividades vulnerables, las Reglas de Carácter General que detallarán la metodología deben publicarse a más tardar el 16 de julio de 2026, conforme al Transitorio Segundo de la reforma a la LFPIORPI (DOF 16-jul-2025). Mientras tanto, las guías de la UIF para entidades financieras, la Guía UIF de Países de Riesgo de abril 2026 y la metodología EBR de la CNBV sirven de referencia anticipada.

El artículo 53 de la LFPIORPI tipifica las conductas sancionables y el artículo 54 establece los rangos económicos por gravedad. Con UMA 2026 de $117.31 MXN diarios:

El incumplimiento de las obligaciones del Art. 18 —incluyendo las nuevas fracciones VII a XI— se sanciona conforme al Art. 53 y se monetiza con los rangos del Art. 54 según la gravedad determinada por la autoridad.

Para SOFOMes ENR, las sanciones se aplican en días de salario mínimo y siguen el procedimiento descrito en la guía de multas PLD para SOFOM ENR.