Construir una matriz de riesgos LAFT es una obligación importante para las organizaciones expuestas al lavado de activos, la financiación del terrorismo y otros riesgos asociados. Sin embargo, el verdadero reto no está únicamente en diseñar escalas de probabilidad, impacto y controles.
La efectividad de la matriz depende de la calidad de la información que la alimenta.
Una matriz basada en datos incompletos, desactualizados o difíciles de verificar puede generar una percepción equivocada del riesgo. Esto puede llevar a clasificar mal una contraparte, omitir señales de alerta o aplicar controles que no corresponden con la exposición real de la empresa.
Por eso, el oficial de cumplimiento debe convertir las validaciones, consultas y evidencias obtenidas durante la debida diligencia en insumos confiables, actualizados y trazables.
¿Qué es una matriz de riesgos LAFT?
Una matriz de riesgos LAFT es una herramienta utilizada para identificar, analizar, evaluar, controlar y monitorear los riesgos relacionados con lavado de activos y financiación del terrorismo. En las empresas obligadas, esta herramienta hace parte de una gestión más amplia del riesgo establecida dentro del SAGRILAFT.
Dependiendo del sistema aplicable, también puede incorporar el riesgo de financiación de la proliferación de armas de destrucción masiva.
Normalmente, la matriz relaciona:
- Eventos de riesgo.
- Factores y causas.
- Probabilidad de ocurrencia.
- Impacto potencial.
- Controles implementados.
- Efectividad de los controles.
- Riesgo inherente.
- Riesgo residual.
- Responsables y planes de tratamiento.
Sin embargo, estos componentes solo son útiles cuando están respaldados por información que refleje la realidad operativa de la organización.
El problema no es solamente construir la matriz
Una empresa puede contar con una matriz bien diseñada y, aun así, tener una gestión débil del riesgo.
Esto ocurre cuando las calificaciones se asignan con base en supuestos genéricos, información antigua o datos que no pueden demostrarse. También sucede cuando la matriz se actualiza únicamente antes de una auditoría, sin incorporar los cambios detectados durante la operación.
Para que sea útil en la toma de decisiones, la información debe cumplir cuatro condiciones:
Integridad: debe contener los datos necesarios para realizar el análisis.
Oportunidad: debe estar disponible cuando se requiere tomar una decisión.
Confiabilidad: debe provenir de fuentes consistentes y verificables.
Disponibilidad: debe conservarse y poder consultarse durante auditorías, revisiones o requerimientos.
La matriz no debe ser un documento estático. Debe reflejar cómo cambia el riesgo en el tiempo.
¿Qué información debe alimentar una matriz de riesgos LAFT?
La matriz debe combinar información interna, externa y datos obtenidos durante los procesos de debida diligencia.
Información de las contrapartes
La debida diligencia sobre clientes, proveedores, empleados, contratistas, socios y otras contrapartes permite establecer distintos niveles de exposición.
Entre los datos relevantes se encuentran:
- Identificación de la persona o empresa.
- Actividad económica.
- Estructura societaria.
- Beneficiarios finales.
- Países y jurisdicciones relacionadas.
- Origen de los recursos.
- Capacidad económica.
- Productos o servicios contratados.
- Historial de la relación.
- Resultados de consultas en listas y fuentes públicas.
No basta con solicitar formularios. La información suministrada debe contrastarse con documentos, registros y fuentes externas que permitan confirmar su consistencia.
Información histórica de la empresa
La experiencia interna permite reconocer cómo se ha manifestado el riesgo dentro de la operación.
Algunos insumos relevantes son:
- Operaciones inusuales detectadas.
- Reportes internos.
- Intentos de fraude o suplantación.
- Incumplimientos documentales.
- Alertas generadas.
- Hallazgos de auditoría.
- Casos investigados.
- Decisiones de comités.
- Materialización previa de riesgos.
Esta información ayuda a evitar que la matriz se construya únicamente con escenarios teóricos.
Fuentes externas
El entorno de riesgo cambia por nuevas tipologías, modificaciones regulatorias, transformaciones tecnológicas y cambios geopolíticos.
Por eso, conviene consultar periódicamente:
- Recomendaciones y documentos del GAFI.
- Estudios de GAFILAT.
- Informes y tipologías de la UIAF.
- Circulares de organismos de supervisión.
- Evaluaciones nacionales y sectoriales.
- Listas restrictivas y sancionatorias.
- Sentencias y procesos judiciales públicos.
- Noticias negativas de medios confiables.
Las fuentes externas permiten ajustar la matriz cuando aparecen amenazas que antes no habían sido consideradas.
Las señales de alerta como insumo para la matriz
Las señales de alerta son comportamientos, características o situaciones que se apartan de lo que la organización considera normal.
No demuestran por sí solas la existencia de lavado de activos o financiación del terrorismo. Su función es activar una revisión adicional.
Algunas señales relevantes son:
- Información contradictoria.
- Negativa a identificar beneficiarios finales.
- Operaciones que no corresponden con la actividad económica.
- Transacciones superiores a la capacidad financiera.
- Cambios frecuentes en representantes o accionistas.
- Vinculación con jurisdicciones de mayor riesgo.
- Aparición en listas restrictivas.
- Noticias negativas.
- Documentos alterados o imposibles de verificar.
- Resistencia a entregar soportes.
- Uso injustificado de intermediarios.
Cuando una señal se repite, puede indicar que existe un evento de riesgo no contemplado o que los controles actuales no son suficientes.
Cómo convertir una alerta en información útil
Uno de los errores frecuentes es acumular alertas sin relacionarlas con los riesgos de la matriz.
La información debe procesarse siguiendo una secuencia lógica:
- Identificar la señal.
- Determinar la contraparte o proceso involucrado.
- Analizar la posible causa.
- Relacionarla con un evento de riesgo.
- Revisar si modifica la probabilidad o el impacto.
- Evaluar si los controles funcionaron.
- Documentar la decisión.
- Actualizar la matriz cuando el hallazgo sea relevante.
Por ejemplo, una noticia negativa sobre un proveedor no debe conservarse únicamente como una captura de pantalla. Debe analizarse si cambia su perfil de riesgo, si exige debida diligencia intensificada o si evidencia una falla en el proceso de vinculación.
Evidencia y trazabilidad
Una matriz debe permitir explicar cómo se llegó a cada conclusión.
No es suficiente indicar que una contraparte fue clasificada como de riesgo alto. Debe existir evidencia que responda:
- ¿Qué información se consultó?
- ¿Qué fuentes se utilizaron?
- ¿Cuándo se realizó la consulta?
- ¿Quién hizo la validación?
- ¿Qué coincidencias se encontraron?
- ¿Cómo se descartaron homonimias?
- ¿Qué criterio produjo la calificación?
- ¿Quién aprobó la decisión?
Entre las evidencias se pueden conservar formularios, resultados de consulta, registros del sistema, soportes documentales, análisis de coincidencias, actas y conceptos del oficial de cumplimiento.
La trazabilidad permite reconstruir el proceso y demostrar que la organización actuó de manera diligente.
Dato, evidencia y conclusión no son lo mismo
Para mejorar la calidad de la matriz conviene diferenciar tres conceptos:
Dato: información obtenida de una fuente.
Evidencia: soporte que permite verificar el dato.
Conclusión: resultado del análisis realizado sobre los datos y evidencias.
Una coincidencia de nombre en una lista, por ejemplo, es un dato. Debe analizarse antes de concluir que corresponde a la misma persona o que representa un riesgo determinado.
Esta distinción reduce falsos positivos y evita decisiones basadas en información aislada.
¿Cada cuánto debe actualizarse la matriz?
La periodicidad depende de la regulación aplicable, la naturaleza de la empresa y su nivel de exposición.
Sin embargo, la actualización no debería limitarse a una revisión anual. También debe activarse cuando ocurren cambios como:
- Entrada a nuevos mercados.
- Apertura de canales digitales.
- Lanzamiento de productos.
- Vinculación de nuevos tipos de contrapartes.
- Cambios regulatorios.
- Aparición de nuevas tipologías.
- Incremento de alertas.
- Hallazgos de auditoría.
- Materialización de riesgos.
- Cambios relevantes en una contraparte.
La revisión periódica funciona como control general. La actualización por eventos permite responder con mayor rapidez.
Riesgo inherente y riesgo residual
El riesgo inherente representa la exposición antes de aplicar controles. Una fórmula frecuente es:
Riesgo inherente = probabilidad × impacto
Después se evalúan los controles para determinar el riesgo residual.
Riesgo residual = nivel de riesgo que permanece después de aplicar controles
Estas fórmulas no deben utilizarse de forma mecánica. Una calificación numérica solo tiene valor cuando puede explicarse con información verificable.
Asignar una probabilidad alta sin evidencia convierte la matriz en un ejercicio subjetivo.
Los controles también generan información
Los controles no solo reducen el riesgo. También producen datos que permiten mejorar la matriz.
Algunos ejemplos son:
- Consulta en listas.
- Validación de identidad.
- Verificación empresarial.
- Identificación de beneficiarios finales.
- Monitoreo transaccional.
- Revisión de noticias negativas.
- Actualización documental.
- Debida diligencia intensificada.
- Seguimiento a operaciones inusuales.
Si un control genera demasiadas alertas o falsos positivos, esa información debe analizarse. Puede indicar que el criterio está mal configurado o que existe una concentración de riesgo no identificada.
Tecnología para mejorar la calidad de la información
Cuando las validaciones se realizan manualmente en múltiples páginas, archivos y correos, aumenta el riesgo de perder evidencias, consultar datos antiguos o aplicar criterios distintos.
Una plataforma especializada puede ayudar a:
- Centralizar consultas.
- Verificar personas, empresas y vehículos.
- Consultar listas y fuentes públicas.
- Registrar fecha y resultado de cada validación.
- Estandarizar criterios.
- Reducir errores manuales.
- Facilitar auditorías.
- Conservar trazabilidad.
- Generar insumos para segmentación y monitoreo.
La tecnología no reemplaza el criterio del oficial de cumplimiento. Le permite tomar decisiones con información más organizada y verificable.
Buenas prácticas para fortalecer la matriz
Para mejorar la calidad de la información, es recomendable:
- Definir fuentes válidas para cada contraparte.
- Registrar la fecha de consulta.
- Conservar los resultados.
- Documentar coincidencias y homonimias.
- Relacionar alertas con eventos de riesgo.
- Ajustar las calificaciones cuando cambie la exposición.
- Evaluar periódicamente los controles.
- Establecer responsables y aprobaciones.
- Centralizar las validaciones.
- Presentar cambios relevantes al órgano competente.
Errores que debilitan la matriz
Algunas prácticas reducen su efectividad:
- Copiar riesgos de matrices genéricas.
- Mantener la misma valoración durante años.
- Asignar puntajes sin evidencia.
- Consultar una sola fuente.
- No validar la identidad de la contraparte.
- Conservar capturas sin fecha.
- No documentar coincidencias descartadas.
- Tratar a todas las contrapartes igual.
- Actualizar únicamente antes de una auditoría.
Una matriz puede estar completa en apariencia y seguir desconectada de la realidad.
La información convierte la matriz en una herramienta de decisión
Una matriz de riesgos LAFT no debe funcionar como un archivo aislado. Debe integrar lo que ocurre en la operación, las señales detectadas y los resultados de los controles.
Cada validación debe producir información útil: datos confirmados, evidencias conservadas, alertas analizadas y decisiones trazables.
Cuando la organización alimenta la matriz de forma continua, esta deja de ser una fotografía estática y se convierte en una herramienta activa para priorizar riesgos, fortalecer la debida diligencia y responder con mayor solidez ante auditorías o requerimientos.
Convierte tus validaciones en insumos útiles para tu matriz de riesgo. Con Validiti puedes centralizar la consulta de personas, empresas y vehículos, conservar evidencias y tomar decisiones basadas en información confiable y verificable.
