Guía práctica para implementar un enfoque basado en riesgos y cumplir las exigencias del nuevo marco normativo.
La matriz de riesgos es la herramienta que permite a las Personas Obligadas de Guatemala llevar a la práctica las exigencias del Decreto 15-2026, publicado en el Diario de Centro América el 17 de junio de 2026 y vigente desde el 17 de septiembre de 2026. Esta guía explica, paso a paso, cómo construirla para gestionar los riesgos de lavado de dinero u otros activos, financiamiento del terrorismo y financiamiento de la proliferación de armas de destrucción masiva (LD/FT/FPADM) [1].
¿Quiénes son los sujetos obligados según el Decreto 15-2026?
La administración del riesgo constituye uno de los pilares fundamentales del régimen preventivo incorporado por el Decreto 15-2026 en Guatemala. La norma establece que las Personas Obligadas (denominadas «sujetos obligados» en otras jurisdicciones) deben desarrollar un proceso integral para identificar, evaluar y mitigar los riesgos asociados al lavado de dinero, al financiamiento del terrorismo y al financiamiento de la proliferación de armas de destrucción masiva, conforme al artículo 8 [1].
Aunque la legislación no utiliza expresamente el término «matriz de riesgos LD/FT», sí exige la aplicación de una metodología documentada que permita gestionar el riesgo de forma estructurada y proporcional a la naturaleza, tamaño y complejidad de las actividades desarrolladas.
En la práctica, la matriz de riesgos se convierte en la herramienta que permite cumplir dicho mandato normativo.
Más allá del cumplimiento regulatorio, una matriz bien diseñada facilita la comprensión de la exposición al riesgo de la organización, orienta la asignación de recursos y mejora la toma de decisiones relacionadas con controles, monitoreo y debida diligencia.
¿Qué exige el Decreto 15-2026 en materia de administración del riesgo?
El artículo 8 establece que las Personas Obligadas deben implementar un proceso de administración del riesgo LD/FT/FPADM que incluya como mínimo la identificación, evaluación y mitigación de riesgos, así como la documentación y aprobación formal de dicho proceso [1].
Tabla 1. Etapas del proceso de administración del riesgo LD/FT/FPADM
Etapa
Fundamento legal
Identificación del riesgo
Artículo 9
Evaluación del riesgo
Artículo 10
Mitigación del riesgo
Artículo 11
Documentación y aprobación del proceso
Artículo 8
Fuente: Elaboración propia con base en el Decreto 15-2026 de Guatemala.
Estas cuatro etapas conforman la estructura mínima que debe sustentar cualquier metodología de gestión de riesgos implementada por las Personas Obligadas.
¿Por qué la matriz debe construirse bajo un enfoque basado en riesgos?
Uno de los principios más relevantes de los estándares del GAFI es que no todos los clientes (o, en sentido amplio, contrapartes), productos, servicios o jurisdicciones presentan el mismo nivel de exposición al riesgo [2].
En consecuencia, las organizaciones deben concentrar recursos y controles donde exista una mayor probabilidad de ocurrencia y un impacto más significativo.
El enfoque basado en riesgo (EBR) permite aplicar controles diferenciados según el nivel de exposición; optimizar recursos de cumplimiento; identificar oportunamente amenazas emergentes; fortalecer la debida diligencia sobre clientes de mayor riesgo; y demostrar ante supervisores una gestión proporcional y razonada.
La matriz de riesgos constituye precisamente el instrumento que permite operacionalizar este enfoque.
Paso 1. Identificación de los factores de riesgo
Tabla 2. Factores mínimos de riesgo establecidos por el Decreto 15-2026
La primera etapa consiste en identificar los factores de riesgo presentes dentro de la actividad desarrollada por la organización. El artículo 9 establece que las Personas Obligadas deben definir una metodología que permita identificar sus factores de riesgo y las variables asociadas a cada uno de ellos [1].
Etapa
Aspectos que deben analizarse
Clientes
Composición de la base de clientes y características relevantes para la evaluación del riesgo.
Ubicación geográfica
Países, regiones o jurisdicciones relacionadas con las operaciones.
Canales de distribución
Mecanismos utilizados para ofrecer productos o prestar servicios.
Bienes, productos o servicios
Actividades, productos y servicios desarrollados por la organización.
Fuente: Elaboración propia con base en el artículo 9 del Decreto 15-2026 de Guatemala.
La segmentación como punto de partida para la identificación del riesgo
La correcta identificación del riesgo requiere organizar la información disponible mediante procesos de segmentación. Esta práctica facilita la clasificación de clientes, productos, canales y zonas geográficas con características similares, lo que permite realizar análisis más precisos y consistentes.
Tabla 3. Ejemplos de segmentación aplicables a la identificación de riesgos
Etapa
Aspectos que deben analizarse
Clientes
Actividad económica, naturaleza jurídica o perfil transaccional.
Productos y servicios
Servicios tradicionales, especializados o de mayor complejidad.
Canales
Presenciales, digitales o mediante terceros.
Ubicación geográfica
Operaciones nacionales, regionales o internacionales.
Fuente: Elaboración propia con base en la metodología de identificación de factores de riesgo prevista en el artículo 9 del Decreto 15-2026 de Guatemala.
La calidad de la segmentación influye directamente en la efectividad de la matriz de riesgos, ya que permite diferenciar niveles de exposición entre grupos con características distintas.
Paso 2. Evaluación del riesgo
Una vez identificados los factores relevantes, la organización debe analizar su nivel de exposición. El artículo 10 establece que las Personas Obligadas deben comprender la probabilidad de ocurrencia del riesgo y el posible impacto sobre sus actividades [1].
Tabla 4. Variables utilizadas en la evaluación del riesgo
Etapa
Aspectos que deben analizarse
Probabilidad
Posibilidad de ocurrencia del evento de riesgo.
Impacto
Consecuencias potenciales para la organización.
Fuente: Elaboración propia con base en el artículo 10 del Decreto 15-2026 de Guatemala.
La combinación de ambas variables permite determinar niveles de riesgo y establecer prioridades dentro del proceso de gestión.
Riesgo inherente y riesgo residual: conceptos indispensables
Aunque el Decreto no desarrolla expresamente estos términos, forman parte de las mejores prácticas internacionales de gestión del riesgo.
El riesgo inherente corresponde al nivel de exposición existente antes de aplicar cualquier control o medida de mitigación.
El riesgo residual representa el riesgo que permanece después de aplicar los controles implementados por la organización. La diferencia entre ambos permite medir la efectividad real de los controles existentes.
Por ejemplo, una categoría de clientes puede presentar inicialmente un riesgo inherente alto; sin embargo, después de aplicar procesos de debida diligencia reforzada, monitoreo transaccional y validación documental, el riesgo residual podría reducirse a un nivel medio o bajo.
El papel de las evaluaciones nacionales de riesgo (ENR)
El artículo 10 también dispone que las evaluaciones deben considerar, cuando resulte aplicable, los resultados de las evaluaciones nacionales o sectoriales comunicadas por la Superintendencia de Bancos a través de la Intendencia de Verificación Especial (IVE) [1] [3].
Las Evaluaciones Nacionales de Riesgo (ENR) permiten comprender, entre otros aspectos, las amenazas predominantes en el país, los sectores más vulnerables, las tipologías emergentes y los riesgos asociados a determinadas actividades económicas. Incorporar estos resultados fortalece la objetividad de la matriz de riesgos y mejora la alineación con los riesgos identificados por el Estado.
Paso 3. Mitigación del riesgo
La tercera etapa consiste en determinar las medidas necesarias para administrar los riesgos identificados. De acuerdo con el artículo 11, las Personas Obligadas deben implementar políticas, procedimientos, controles y sistemas de información adecuados a la exposición detectada [1].
En términos generales, un riesgo bajo admite controles acordes con la exposición identificada; un riesgo medio exige medidas reforzadas y un seguimiento más frecuente; y un riesgo alto requiere controles fortalecidos y una supervisión más rigurosa.
La mitigación requiere una relación directa entre el nivel de riesgo y la efectividad de los controles aplicados. Esta proporcionalidad constituye uno de los principios fundamentales del modelo adoptado por la ley.
El artículo 11 también establece que el análisis del riesgo debe realizarse antes de la incorporación de nuevos productos, servicios, tecnologías o prácticas comerciales.
Ejemplo práctico de una matriz de riesgos LD/FT/FPADM
El siguiente ejemplo simplificado aplica cada uno de los pasos descritos.
Considere una organización que analiza cuatro segmentos. En el factor clientes, el segmento de PEP extranjeras presenta probabilidad alta e impacto alto, lo que arroja un riesgo inherente alto; tras la aplicación de debida diligencia reforzada, el riesgo residual baja a medio. En el factor canal, la vinculación digital tiene probabilidad media e impacto alto, con un riesgo inherente alto que la validación biométrica reduce a un nivel residual medio.
En el factor geografía, las operaciones con una jurisdicción de alto riesgo combinan probabilidad alta e impacto alto; el monitoreo intensificado deja un riesgo residual medio. Por último, en el factor producto, las operaciones internacionales muestran probabilidad media e impacto alto, con un riesgo inherente alto que las alertas transaccionales reducen a medio.
Este ejercicio simulado y simplificado muestra cómo la matriz de riesgos permite asociar riesgos específicos con controles concretos y medir la exposición residual resultante.
Paso 4. Documentación y actualización del proceso
El artículo 8 dispone que todo el proceso de administración del riesgo y sus actualizaciones deben permanecer documentados y contar con la aprobación del órgano de dirección superior [1].
Como mínimo, la documentación debe recoger los factores de riesgo identificados, para justificar la metodología utilizada; las evaluaciones realizadas, para evidenciar el análisis efectuado; las medidas adoptadas, para demostrar la gestión del riesgo; y las actualizaciones efectuadas, para reflejar los cambios en la exposición al riesgo.
La documentación proporciona trazabilidad a las decisiones adoptadas y constituye un elemento fundamental para demostrar la aplicación efectiva del enfoque basado en riesgo.
Errores frecuentes en la construcción de una matriz de riesgos
La utilidad de una matriz depende de la calidad del análisis realizado. Determinadas prácticas reducen su valor como herramienta de gestión y dificultan la adecuada administración del riesgo.
Entre los errores más frecuentes destacan cinco. El uso de matrices genéricas deja sin identificar los riesgos específicos de la organización. La ausencia de segmentación resta precisión y capacidad de análisis a la evaluación. La falta de evidencia documental dificulta sustentar las decisiones adoptadas. La falta de actualización hace que la matriz deje de reflejar la realidad operativa. Y la desconexión entre riesgos y controles provoca que las medidas implementadas pierdan efectividad.
La construcción de una matriz de riesgos efectiva requiere coherencia metodológica, evidencia documental suficiente y revisión periódica frente a cambios internos o externos.
¿Su organización ya cuenta con una matriz de riesgos alineada con el Decreto 15-2026?
Contacte a nuestro equipo de expertos para diseñar, revisar o actualizar su metodología de administración del riesgo LD/FT/FPADM, desde la segmentación de factores hasta la documentación que exige el órgano de dirección superior. Conozca también Sofrisk®, nuestro software de gestión de riesgos con módulo de Segmentación 360°, que centraliza la matriz y su trazabilidad. Suscríbase a nuestro boletín para recibir análisis normativos como este directamente en su correo.
Conclusiones
El Decreto 15-2026 consolida un modelo de administración del riesgo basado en la identificación, evaluación, mitigación y documentación de los riesgos LD/FT/FPADM. Estas obligaciones convierten a la matriz de riesgos en una herramienta esencial para el cumplimiento normativo y la gestión efectiva de amenazas.
Una matriz de riesgos bien diseñada no debe limitarse a satisfacer exigencias regulatorias. También debe proporcionar información útil para la toma de decisiones, la asignación de recursos y la mejora continua de los controles.
Las organizaciones que desarrollen matrices dinámicas, documentadas y alineadas con su realidad operativa estarán mejor preparadas para responder a los requerimientos de supervisión y, al mismo tiempo, fortalecerán su capacidad para prevenir el lavado de dinero, el financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva.
Referencias:
Congreso de la República de Guatemala. (2026). Decreto Número 15-2026. Ley Integral para la Prevención y Represión del Lavado de Dinero u Otros Activos y del Financiamiento del Terrorismo.
GAFI – Grupo de Acción Financiera Internacional. (2026). Estándares internacionales sobre la lucha contra el lavado de activos, el financiamiento del terrorismo y el financiamiento de la proliferación.
Superintendencia de Bancos de Guatemala. (s. f.). Prevención del lavado de dinero u otros activos y financiamiento del terrorismo. https://www.sib.gob.gt
