Ya sabes que la reforma antilavado te obliga a tener una matriz de riesgo propia; qué cambió y desde cuándo aplica cada plazo lo cubrimos en nuestro artículo sobre las nuevas reglas. La pregunta difícil, la que casi nadie responde, es otra: cómo se construye una matriz que la autoridad no te rechace.

Porque no es un formato que descargas y llenas. El Capítulo II Quáter exige una metodología hecha a la medida de tu operación, y debe estar por escrito y disponible para la autoridad el 1 de marzo de 2027. Aquí desarmamos esa metodología pieza por pieza: qué debe contener, cómo se pondera y dónde se cae la mayoría.

La MER

Antes de ponderar nada, tu metodología debe cumplir cuatro requisitos formales que la autoridad revisa de entrada:

• Constar por escrito y estar aprobada por el órgano de gobierno o la alta dirección.
• Apoyarse en información de un periodo no menor a doce meses.
• Documentar los mitigantes: los controles con los que reduces el riesgo.
• Incluir indicadores específicos para los delitos de los artículos 139 Quáter (financiamiento al terrorismo) y 400 Bis (recursos de procedencia ilícita) del Código Penal Federal.

Si falta cualquiera de los cuatro, la metodología es rechazable aunque tu modelo de scoring sea impecable.

Factores mínimos

El Capítulo II Quáter fija cuatro elementos mínimos que la matriz debe evaluar y, sobre todo, cruzar entre sí:

• Actos u operaciones: tipo, complejidad y volumen de lo que hace tu negocio.
• Clientes y usuarios: naturaleza, actividad, origen de fondos y si son personas políticamente expuestas.
• Países y áreas geográficas: exposición a zonas de alto riesgo, fronteras o jurisdicciones no cooperantes.
• Transacciones y canales: cómo llega y opera el cliente, presencial o remoto, directo o por terceros.

Ese es el mínimo legal. La buena práctica añade un quinto factor —el producto o servicio que ofreces—, porque uno de fácil liquidez o anonimato pesa más que uno trazable.

Riesgo inherente vs residual

Este es el criterio técnico que el SAT revisará con más cuidado, así que conviene tenerlo claro. Tu matriz debe distinguir dos niveles.

El riesgo inherente es el riesgo crudo de la actividad, antes de aplicar cualquier control. El riesgo residual es el que queda después de aplicar tus mitigantes.

En la práctica, un cliente puede tener riesgo inherente alto por su giro o su geografía; pero si tus controles son efectivos, su riesgo residual baja. Por eso debes reportar los dos: la diferencia entre ambos es, precisamente, la prueba de que tus controles sirven. Un mitigante que no puedes evidenciar no reduce nada.

Calibrar umbrales

Las escalas son los cortes que separan el riesgo bajo, medio y alto. Siguiendo el ejemplo, podrías definir: hasta 1.6 bajo, de 1.7 a 2.3 medio, y de 2.4 en adelante alto. Con esa escala, el cliente de 2.05 cae en medio.

Esta calibración es lo más delicado de toda la metodología. Si mueves los cortes hacia arriba para que “entren” más clientes en bajo, subestimas a los de alto riesgo y dejas de aplicarles la debida diligencia intensificada que la ley exige. Y esa omisión es, justamente, lo que la autoridad sanciona. Por eso cada umbral debe estar justificado, no elegido para que la operación sea cómoda.

Scoring

Una matriz en papel tiene un problema práctico: alguien tiene que calcular ese 2.05 para cada cliente, revisar listas a mano y recalcularlo cada vez que cambia un dato. A la décima cuenta, el modelo se abandona.

Aquí es donde DÝNAMI vuelve viva tu calibración. La plataforma toma tus ponderadores y tus umbrales y calcula el scoring automático por cuenta a partir del cuestionario y la documentación cargada. Cuando subes un mitigante, recalcula el riesgo residual; cuando un cliente aparece en una lista, vuelve a puntuar solo. Y aplica una «regla dura»: si el score supera tu apetito de riesgo, el alta se bloquea antes de contratar, con la decisión registrada en bitácora —usuario, motivo y fecha—. Así, la metodología que diseñaste no vive en un Excel que nadie ejecuta.

Errores

Tres fallas concentran la mayoría de los requerimientos:

• Plantillas genéricas. Una matriz descargada que no refleja tu escala ni tu giro real se considera insuficiente.
• Umbrales acomodados. Cortes movidos para esconder a los clientes de alto riesgo, sin justificación técnica.
• Excepciones silenciosas. Desbloquear a un cliente riesgoso sin registrar quién lo autorizó, por qué y cuándo. Lo que no está documentado, para la autoridad no ocurrió.

La auditoría anual ya no evalúa si tienes la carpeta, sino si el modelo previene de verdad. Y si tu grado de riesgo es alto, ese dictamen deberá hacerlo un auditor externo con certificación vigente de la UIF.

Preguntas frecuentes

¿La misma matriz sirve para todos mis clientes?
Los ponderadores (los pesos) sí son los mismos: son tu metodología. Lo que cambia es la calificación de cada factor por cliente. Por eso dos clientes con la misma matriz terminan en niveles de riesgo distintos.

¿Qué es exactamente un mitigante?
Un control que reduce el riesgo: verificación de identidad reforzada, aprobación de alta dirección, monitoreo más frecuente. La norma exige documentarlos porque son los que bajan el riesgo inherente a residual.

¿Quién debe aprobar la metodología?
Debe estar aprobada y respaldada por el órgano de gobierno o la alta dirección. No basta con que la redacte el área operativa.

¿Riesgo inherente o residual: cuál reporto?
Ambos. La autoridad quiere ver el riesgo crudo y el que queda tras tus controles; la diferencia entre los dos demuestra que tus mitigantes funcionan.

¿Cada cuándo recalibro los ponderadores?
Al revisar la metodología, al menos cada doce meses, o antes si cambia tu modelo de negocio, hay reformas o se actualiza la Evaluación Nacional de Riesgos.

Este contenido es informativo y no constituye asesoría legal ni fiscal. Las obligaciones citadas provienen del Acuerdo 115/2026 (DOF 7 de agosto de 2026) y del marco vigente de la LFPIORPI. Para tu caso concreto, consulta a Cumbre Asesores.