Evaluar el riesgo antes de contratar o cerrar una operación.
Conocer a la persona o empresa con la que vamos a hacer negocios ya no debería limitarse a solicitar una identificación, una constancia fiscal o un acta constitutiva.
En un entorno en el que las organizaciones están cada vez más expuestas a riesgos de lavado de dinero, fraude, corrupción, conflictos reputacionales y operaciones con terceros sancionados, resulta indispensable adoptar un enfoque de debida diligencia que permita identificar y evaluar diferentes factores antes de iniciar una relación comercial.
En Juswho analizamos información pública y diferentes indicadores de riesgo con el objetivo de brindar a nuestros clientes mayores elementos para tomar decisiones informadas.
El riesgo no depende de un solo dato.
Una adecuada evaluación no debería determinarse por una sola coincidencia o antecedente.
El nivel de riesgo debe surgir del análisis conjunto de diferentes elementos, entre ellos:
- actividad económica;
- condición de Persona Políticamente Expuesta (PEP);
- jurisdicción en la que opera o reside;
- estructura corporativa y beneficiario controlador;
- antecedentes legales;
- listas de sanciones;
- información negativa en medios;
- congruencia entre la actividad declarada y la operación que pretende realizar;
- domicilio y presencia física verificable;
- antecedentes regulatorios y fiscales;
- características, monto y naturaleza de la operación.
La combinación de estos factores permite construir una clasificación que puede ir desde un riesgo bajo hasta un riesgo alto, dependiendo de las circunstancias particulares de cada investigación.
1. Actividades Vulnerables: un factor que merece mayor atención
La Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita —conocida comúnmente como Ley Antilavado— establece en su artículo 17 diversas Actividades Vulnerables que, por su naturaleza, requieren controles especiales de identificación y, bajo determinados supuestos, presentación de avisos ante las autoridades. La LFPIORPI fue objeto de una reforma importante publicada el 16 de julio de 2025.
Entre estas actividades se encuentran:
- Juegos con apuesta, concursos y sorteos.
- Emisión o comercialización de determinadas tarjetas de servicios, crédito, prepago e instrumentos de valor almacenado.
- Emisión y comercialización de cheques de viajero.
- Otorgamiento habitual de préstamos, créditos o mutuos por sujetos distintos de entidades financieras.
- Desarrollo, construcción e intermediación inmobiliaria.
- Comercialización de metales y piedras preciosas, joyas y relojes.
- Subasta y comercialización de obras de arte.
- Comercialización de vehículos terrestres, marítimos y aéreos.
- Servicios de blindaje.
- Traslado o custodia de dinero y valores.
- Determinados servicios profesionales independientes realizados por cuenta de clientes.
- Determinados actos realizados por notarios y corredores públicos.
- Recepción de donativos por ciertas organizaciones sin fines de lucro.
- Determinados servicios de comercio exterior prestados por agentes o apoderados aduanales.
- Constitución de derechos personales de uso o goce sobre inmuebles.
- Determinadas operaciones habituales y profesionales relacionadas con activos virtuales.
Desarrollar una Actividad Vulnerable no significa que una persona o empresa esté involucrada en una actividad ilícita.
Sin embargo, desde una perspectiva de administración de riesgos, puede justificar un mayor nivel de revisión debido a la exposición inherente que presentan determinados sectores.
Por ejemplo, una metodología interna podría considerar inicialmente una Actividad Vulnerable como un factor de riesgo medio, sujeto a incrementarse cuando existan otros indicadores relevantes.
2. Personas Políticamente Expuestas: riesgo no significa culpabilidad
Otro elemento relevante son las Personas Políticamente Expuestas (PEP).
La reforma de 2025 incorporó expresamente a la LFPIORPI la definición de Persona Políticamente Expuesta como aquella persona física que desempeña o ha desempeñado funciones públicas en México o en otro país, así como determinadas personas relacionadas con ella. Posteriormente, la reforma al Reglamento publicada el 27 de marzo de 2026 incorporó disposiciones específicas sobre la lista de PEP.
Ser una PEP no implica la comisión de un delito ni constituye por sí mismo un antecedente negativo.
Lo que representa es una condición que puede requerir mayor conocimiento del cliente, particularmente respecto del origen de sus recursos, beneficiarios, relaciones comerciales y características de las operaciones.
Dentro de una matriz de riesgos, una PEP nacional podría considerarse inicialmente como un factor de riesgo medio, que puede incrementarse cuando concurran otros elementos.
En el caso de una PEP extranjera, dependiendo de la metodología adoptada por cada organización, puede aplicarse una evaluación reforzada y asignarse un nivel de riesgo mayor.
3. El riesgo geográfico también importa
La jurisdicción vinculada con una persona, empresa, beneficiario controlador o transacción constituye otro elemento relevante.
El Grupo de Acción Financiera Internacional (GAFI/FATF) identifica jurisdicciones que presentan deficiencias estratégicas en sus sistemas para prevenir el lavado de dinero, financiamiento al terrorismo y financiamiento de la proliferación.
Existen dos grandes categorías: Jurisdicciones de alto riesgo y de bajo monitoreo.
Jurisdicciones de alto riesgo
Al 19 de junio de 2026, GAFI mantiene como jurisdicciones sujetas a un llamado a la acción a:
- Corea del Norte;
- Irán;
- Myanmar.
Para Irán y Corea del Norte, GAFI mantiene llamados a contramedidas, mientras que para Myanmar solicita medidas reforzadas de debida diligencia proporcionales al riesgo.
Una relación relevante con este tipo de jurisdicciones constituye un indicador especialmente importante dentro de cualquier modelo de evaluación.
Jurisdicciones bajo monitoreo incrementado
GAFI mantiene además una denominada “lista gris” de países que han reconocido determinadas deficiencias y se han comprometido a implementar planes de acción.
A junio de 2026 se encuentran, entre otros:
Angola, Bolivia, Bosnia y Herzegovina, Bulgaria, Camerún, Costa de Marfil, República Democrática del Congo, Haití, Irak, Kenia, Kuwait, Laos, Líbano, Mónaco, Nepal, Papúa Nueva Guinea, Sudán del Sur, Siria, Venezuela, Vietnam, Islas Vírgenes Británicas y Yemen.
Es importante hacer una precisión: GAFI no establece que pertenecer a la lista gris deba provocar automáticamente el rechazo de un cliente o la aplicación indiscriminada de medidas reforzadas. La recomendación es incorporar esta información dentro de un enfoque basado en riesgo.
4. Listas de sanciones internacionales: no basta con revisar países.
Otro componente indispensable del due diligence es verificar si las personas, empresas, accionistas o beneficiarios controladores aparecen en listas internacionales de sanciones.
Una de las referencias más importantes es la Office of Foreign Assets Control (OFAC) del Departamento del Tesoro de Estados Unidos.
OFAC administra numerosos programas de sanciones vinculados con países, gobiernos, organizaciones, personas y actividades determinadas. Actualmente mantiene programas relacionados, entre otros, con Cuba, Irán, Corea del Norte, Rusia, Venezuela y distintas organizaciones criminales y terroristas.
Por ello, una adecuada revisión no debería limitarse a preguntar:
“¿De qué país proviene esta persona?”
También debería preguntarse:
“¿La persona, empresa, accionistas o beneficiarios controladores aparecen directamente en alguna lista de sanciones o están sujetos a restricciones particulares?”
Una coincidencia confirmada en una lista de sanciones representa un indicador significativamente más relevante que la nacionalidad por sí sola.
5. ¿Qué sucede con los llamados “paraísos fiscales”?
También debe distinguirse el riesgo fiscal del riesgo de lavado de dinero.
En México, los Regímenes Fiscales Preferentes (REFIPRE) no funcionan jurídicamente como una simple lista permanente de países considerados paraísos fiscales.
La Ley del Impuesto sobre la Renta establece, en términos generales, que pueden considerarse sujetos a REFIPRE determinados ingresos obtenidos a través de entidades extranjeras cuando éstos no estén gravados en el extranjero o estén sujetos a una imposición inferior al 75% del impuesto que correspondería en México.
Por ello, la existencia de una sociedad en Islas Caimán, Bermudas, Bahamas, Islas Vírgenes Británicas u otra jurisdicción de baja imposición no debería determinar automáticamente que una operación sea ilícita o de alto riesgo.
Lo relevante es analizar elementos adicionales como:
- complejidad innecesaria de la estructura;
- falta de transparencia respecto del beneficiario controlador;
- ausencia de sustancia económica;
- inexistencia de una razón comercial aparente;
- operaciones entre múltiples jurisdicciones sin justificación;
- incongruencias entre ingresos, actividad económica y montos involucrados.
6. Otros indicadores que pueden elevar el riesgo
La investigación puede revelar factores que, considerados conjuntamente, justifiquen incrementar la clasificación de riesgo.
Información negativa en medios
No toda nota periodística debe recibir el mismo peso.
Debe evaluarse:
- confiabilidad de la fuente;
- antigüedad de la información;
- existencia de fuentes independientes adicionales;
- naturaleza de los hechos;
- resultado posterior de investigaciones o procedimientos;
- posible homonimia.
Una acusación periodística no tiene el mismo valor que una resolución definitiva de una autoridad.
Antecedentes legales
También debe distinguirse entre:
- demandas civiles;
- procedimientos mercantiles;
- procedimientos administrativos;
- investigaciones penales;
- imputaciones;
- órdenes judiciales;
- sentencias;
- amparos;
- antecedentes concluidos o vigentes.
Especialmente en materia penal, la existencia de un procedimiento no equivale automáticamente a responsabilidad, por lo que el contexto y la etapa procesal son fundamentales.
Inconsistencias en el domicilio o actividad
Un domicilio inexistente, una empresa que aparentemente no opera donde afirma hacerlo o una infraestructura claramente incompatible con la actividad declarada pueden constituir señales de alerta.
Lo relevante no debería ser el nivel socioeconómico de la colonia o zona, sino la congruencia objetiva entre la información declarada y la realidad verificable.
Incongruencia económica de la operación
Una de las señales más importantes surge cuando la operación pretendida parece incompatible con el perfil económico conocido.
Por ejemplo:
Una persona pretende adquirir un inmueble de muy alto valor, pero la información pública disponible, su actividad declarada y su trayectoria económica no permiten identificar razonablemente la capacidad financiera necesaria para efectuar la operación.
Esto no demuestra por sí mismo una irregularidad, pero sí puede justificar una debida diligencia reforzada y solicitar información adicional sobre el origen de los recursos.
Una matriz de riesgo debe conectar los puntos
El verdadero valor de un proceso de compliance no consiste simplemente en acumular información.
Consiste en interpretarla.
Una persona puede desarrollar una Actividad Vulnerable y no presentar ningún otro indicador relevante.
Otra puede no desarrollar ninguna actividad regulada, pero presentar simultáneamente antecedentes negativos, estructuras corporativas opacas, beneficiarios difíciles de identificar, operaciones económicamente inconsistentes y vínculos con jurisdicciones de alto riesgo.
Evidentemente, ambas situaciones requieren evaluaciones distintas.
Por ello, una buena matriz puede considerar categorías como:
Riesgo Bajo → Riesgo Medio → Riesgo Medio-Alto → Riesgo Alto
y documentar claramente qué elementos justificaron llegar a esa conclusión.
El objetivo no es decidir por el cliente: es darle mejores elementos para decidir
La debida diligencia no debe convertirse en una herramienta para prejuzgar personas.
Su finalidad es permitir que las organizaciones conozcan mejor a sus clientes, proveedores, socios, inversionistas y contrapartes antes de asumir un riesgo.
En Juswho Información analizamos fuentes públicas, antecedentes legales, listas internacionales, estructuras corporativas, información reputacional y diversos indicadores para desarrollar reportes que permitan identificar señales de alerta y evaluar integralmente el riesgo de personas físicas y morales.
Porque en los negocios, conocer únicamente el nombre de nuestra contraparte ya no es suficiente.
Hay que saber con quién estamos haciendo negocios.
Este contenido tiene fines informativos y de administración de riesgos y no constituye asesoría jurídica ni implica que la presencia de un factor de riesgo determine por sí misma la existencia de una conducta ilícita.