Evaluación de riesgos LFPIORPI: metodología y clasificación de clientes

Una evaluación de riesgos útil explica a qué está expuesta la organización, cómo lo mide y qué controles reducen esa exposición. La clasificación de clientes utiliza esa lógica para decidir qué atención necesita cada relación. Son dos niveles conectados: una matriz institucional no reemplaza la evaluación individual y una etiqueta de cliente no constituye por sí sola una metodología.

El Acuerdo 115/2026 desarrolla ambos niveles para quienes realizan Actividades Vulnerables. Prepararlos exige conocer la operación, ordenar los datos y documentar las decisiones. Comprar una plantilla puede ahorrar formato, pero los factores, ponderaciones y medidas deben corresponder a la actividad real.

Primero, delimite la actividad y la información disponible

Identifique qué actos u operaciones realiza la organización, qué personas participan, qué canales utiliza y en qué lugares opera. Un negocio con varias líneas de servicio necesita distinguir cuáles corresponden a Actividades Vulnerables y cómo circula su información. El inventario debe permitir reconciliar clientes, número de operaciones y montos, evitando duplicados o periodos incompletos sin explicación.

El artículo 10 Septies 2 establece el uso de información correspondiente a un periodo no menor a doce meses y contempla datos proyectados cuando no se cuente con operaciones dentro de ese periodo. Para la primera evaluación, el transitorio segundo precisa la información del año inmediato anterior y permite utilizar la disponible desde el inicio de la actividad cuando no se tenga el año completo. Conviene documentar expresamente qué supuesto se aplica.

Diseñe factores que tengan una explicación

El artículo 10 Septies 1 considera actos u operaciones, tipos de clientes, países o áreas geográficas, transacciones y canales. También requiere indicadores, medición consistente y consideración de mitigantes efectivamente aplicados. No se trata de asignar números porque una hoja de cálculo los necesita: cada factor debe explicar una fuente de exposición.

Como método de trabajo, prepare una ficha por indicador: definición, dato de origen, periodo, regla de cálculo, responsable y motivo de su peso. Distinga un dato desconocido de un resultado favorable. Si falta información sobre una estructura de propiedad, el modelo no debería tratar automáticamente ese vacío como ausencia de riesgo.

• Documente el riesgo antes de considerar controles y la forma de evaluar el efecto de los mitigantes.
• Compruebe que los controles existen y funcionan; una política sin ejecución no tiene el mismo valor que una revisión documentada.
• Registre las limitaciones de los datos y el tratamiento de casos incompletos.
• Mantenga coherencia entre metodología, manual, expedientes y mecanismos automatizados.

Conecte la metodología con cada cliente

El artículo 23 Bis exige un modelo individual coherente con la metodología y recogido en el manual. Debe contemplar, al menos, riesgo bajo, medio y alto. El artículo 23 Bis 2 distingue características inherentes del cliente y características transaccionales, lo que ayuda a evitar que un único dato domine toda la evaluación.

La clasificación inicial utiliza la información proporcionada por el cliente. Después, el artículo 23 Bis 1 exige reevaluación al menos semestral y mayor frecuencia cuando el grado de riesgo sea más elevado. La revisión debe poder producir un cambio de clasificación y de controles, no limitarse a renovar una fecha en el expediente.

Ejemplo: del puntaje a una decisión

Suponga que dos clientes tienen un volumen semejante. Uno presenta actividad conocida y operaciones consistentes; en el otro hay cambios de contraparte y recursos cuya explicación requiere documentación adicional. El volumen compartido no basta para asignarles el mismo tratamiento. El modelo debe captar las diferencias y el expediente debe explicar qué información se solicitó y qué seguimiento se estableció.

Este caso no propone ponderaciones ni umbrales legales. Ilustra una prueba que conviene realizar antes de aprobar el modelo: introducir situaciones distintas y comprobar que el resultado cambia cuando cambia la exposición. También es útil probar datos faltantes y valores extremos para detectar clasificaciones artificialmente favorables.

Revisión, evidencia y calendario

El artículo 10 Septies 3 exige revisar y actualizar ante nuevos riesgos, actualización de la Evaluación Nacional de Riesgos o dentro del plazo máximo de doce meses previsto en el artículo. La revisión institucional y la revisión semestral de clientes son obligaciones distintas. Conserve versiones, resultados y motivos de los cambios para reconstruir qué metodología se aplicó en cada momento.

El transitorio segundo sitúa la disponibilidad de la evaluación para las autoridades, previo requerimiento, a partir del 1 de marzo de 2027. El cuarto aplica los capítulos de clasificación y conocimiento a operaciones realizadas desde esa fecha. Antes de implementar nuevos medios, canales, productos, servicios o tipos de clientes, el artículo 10 Septies también exige evaluar los riesgos correspondientes.

El siguiente paso es vincular la clasificación con el perfil transaccional y con el manual de políticas internas. Así, el resultado se convierte en instrucciones operativas y evidencia revisable.

Preguntas frecuentes

¿La matriz institucional sustituye la clasificación de clientes?

No. La metodología evalúa la exposición de quien realiza la actividad; el modelo individual clasifica a cada cliente y debe ser coherente con ella.

¿Hay un puntaje universal obligatorio?

Los artículos revisados exigen consistencia y relación con los riesgos. No establecen un puntaje único que pueda copiarse sin atender al contexto de la actividad.

¿Cada cuándo se revisan los clientes?

El artículo 23 Bis 1 establece una evaluación al menos cada seis meses y mayor frecuencia cuando la clasificación de riesgo sea más alta.

Fuentes y alcance

Base normativa: Acuerdo 115/2026, artículos 10 Septies a 10 Septies 4, 23 Bis a 23 Bis 4 y transitorios segundo y cuarto. Las fichas y pruebas propuestas son recomendaciones de implementación, no formatos oficiales ni una certificación de cumplimiento.