Regular según el riesgo: de la proporcionalidad en el papel a la implementación

IDEA CENTRAL

Regular según el riesgo no significa regular menos. Significa que la intensidad de las obligaciones y de la supervisión debe responder al riesgo que se pretende controlar.

La reforma mexicana 2025–2026 al régimen de prevención e identificación de operaciones con recursos de procedencia ilícita ofrece un caso especialmente relevante para observar cómo ese principio puede traducirse en una arquitectura regulatoria concreta.

La evidencia analizada por el BEER muestra una secuencia definida:

riesgo → metodología → clasificación → obligaciones diferenciadas → monitoreo → auditoría → supervisión.

El aprendizaje, sin embargo, viene acompañado de una advertencia igualmente importante:

un diseño regulatorio sofisticado no demuestra por sí mismo que la regulación sea efectiva, viable o proporcional en sus costos.

1. EL RIESGO DEBE CAMBIAR LA REGULACIÓN

Muchas regulaciones afirman estar "basadas en riesgos".

Pero identificar o clasificar riesgos no basta.

Para que el enfoque tenga contenido real, la clasificación debe producir consecuencias regulatorias diferenciadas.

El nuevo régimen mexicano construye precisamente esa lógica mediante categorías de riesgo y mecanismos que permiten modificar la intensidad del cumplimiento.

En términos generales:

menor riesgo → posibilidad de medidas simplificadas;

mayor riesgo → diligencia, monitoreo y controles reforzados.

El aprendizaje es transferible más allá del régimen antilavado:

Si dos situaciones presentan riesgos sustancialmente distintos, aplicarles automáticamente la misma intensidad regulatoria puede producir controles innecesarios en unas y controles insuficientes en otras.

La proporcionalidad comienza cuando la regulación reconoce esas diferencias y las convierte en decisiones justificables.

2. LA PROPORCIONALIDAD TAMBIÉN DEBE ALCANZAR A LA AUTORIDAD

Uno de los elementos más relevantes del expediente es que el enfoque basado en riesgos no se limita al sujeto regulado.

También alcanza a la supervisión pública.

Esto introduce una dimensión frecuentemente olvidada en el diseño regulatorio.

No basta preguntar:

¿cuánto debe cumplir el particular?

También debe preguntarse:

¿con qué intensidad debe supervisar la autoridad?

Una regulación proporcional puede utilizar el riesgo para orientar:

* prioridades de supervisión;

* frecuencia de verificaciones;

* profundidad de las revisiones;

* intensidad de los controles;

* asignación de capacidades institucionales.

El principio resultante es claro:

riesgo → cumplimiento proporcional + supervisión proporcional.

Esto permite concentrar recursos regulatorios donde potencialmente generan mayor valor público y evitar que la intensidad administrativa sea uniforme por definición.

3. SIMPLIFICAR TAMBIÉN PUEDE SIGNIFICAR DIFERENCIAR

La simplificación regulatoria suele asociarse con eliminar requisitos, reducir documentos o digitalizar procedimientos.

El expediente DER-015-2026 muestra otra posibilidad:

simplificar la intensidad de una obligación cuando el riesgo acreditado es menor.

El régimen permite medidas simplificadas para determinados clientes clasificados como de bajo riesgo y establece controles reforzados cuando el riesgo aumenta.

Esto introduce una perspectiva útil para otros ámbitos regulatorios:

La simplificación puede diseñarse como una consecuencia de menor riesgo, siempre que existan criterios objetivos, trazables y verificables que justifiquen la diferenciación.

No significa eliminar controles indiscriminadamente.

Significa evitar que todos soporten necesariamente la misma intensidad regulatoria cuando la evidencia permite distinguir situaciones diferentes.

4. LA TRANSICIÓN TAMBIÉN SE DISEÑA

La reforma aporta otro aprendizaje relevante.

Una regulación compleja no comienza a funcionar plenamente el día en que se publica.

Existen momentos distintos:

publicación → vigencia → exigibilidad → disponibilidad instrumental → operación efectiva → resultados.

Las nuevas Reglas de Carácter General fueron publicadas el 7 de agosto de 2026, pero su entrada en vigor general está prevista para el 30 de noviembre de 2026. A partir de ahí existen obligaciones con calendarios diferenciados durante 2027 y 2028.

Por ejemplo:

1 de marzo de 2027 → primer bloque sustantivo de metodología, clasificación, políticas internas y otros componentes;

1 de junio de 2027 → fecha máxima prevista para mecanismos automatizados;

2027 → primer periodo relevante de capacitación;

2028 → primer periodo de auditoría bajo el nuevo régimen.

Esto permite formular un aprendizaje institucional importante:

Una reforma regulatoria compleja debe diseñar explícitamente su transición hacia la implementación, distinguiendo publicación, vigencia, exigibilidad, disponibilidad instrumental y operación efectiva, y procurando que los periodos y mecanismos de adaptación sean compatibles con la complejidad de las obligaciones y las capacidades de los sujetos involucrados.

La gradualidad, sin embargo, no es automáticamente una buena práctica.

Su calidad dependerá de si los tiempos concedidos resultan razonables frente a las capacidades que autoridades y sujetos regulados deben desarrollar.

5. DIGITALIZAR EL CUMPLIMIENTO ES DISTINTO A DIGITALIZAR UN TRÁMITE

La reforma también permite observar una concepción más amplia de digitalización regulatoria.

Los mecanismos automatizados previstos no sirven únicamente para presentar información electrónicamente.

Deben contribuir a:

organizar información → consolidar operaciones → clasificar riesgos → detectar desviaciones → generar alertas → apoyar monitoreo.

La tecnología se convierte así en infraestructura del sistema de cumplimiento.

Existe además un elemento relevante: el diseño permite distintas soluciones tecnológicas siempre que cumplan las funciones requeridas y puedan verificarse.

El aprendizaje potencial es importante:

Una regulación tecnológicamente neutral puede concentrarse en las capacidades y resultados que debe producir el sistema, en lugar de imponer innecesariamente una solución tecnológica única.

Pero nuevamente será necesario observar la implementación para determinar si esa flexibilidad resulta realmente accesible para sujetos con capacidades diferentes.

6. EL PUNTO QUE TODAVÍA NO PODEMOS RESPONDER: ¿CUÁNTO CUESTA SER PROPORCIONAL?

Aquí aparece una de las cuestiones estratégicas más importantes del expediente.

El nuevo régimen diferencia determinadas obligaciones conforme al riesgo.

Pero para poder clasificar y administrar ese riesgo puede ser necesario construir previamente una infraestructura de cumplimiento:

metodología + información + clasificación + documentación + capacitación + tecnología + monitoreo + auditoría.

Por ello:

proporcionalidad jurídica de las obligaciones ≠ proporcionalidad material del costo total de cumplimiento.

Una empresa puede recibir obligaciones menos intensas por enfrentar menor riesgo y, aun así, necesitar inversiones relevantes para demostrar que efectivamente pertenece a esa categoría.

Esto no significa que el régimen sea desproporcionado.

Tampoco significa que sea proporcional.

La evidencia disponible todavía no permite responderlo.

Para hacerlo será necesario observar variables como:

* nivel de riesgo;

* naturaleza y volumen de operaciones;

* complejidad de clientes;

* tamaño del sujeto regulado;

* infraestructura previa de cumplimiento;

* capacidad administrativa;

* costos tecnológicos;

* capacitación;

* auditoría;

* costo incremental del nuevo régimen.

Ésta será una de las preguntas centrales del seguimiento de DER-015-2026.

7. UNA REGULACIÓN SOFISTICADA NO ES AUTOMÁTICAMENTE UNA REGULACIÓN DE CALIDAD

El expediente deja finalmente una advertencia de alcance general.

Una regulación puede tener metodología, clasificación de riesgos, sistemas tecnológicos, monitoreo, auditoría y supervisión diferenciada.

Todo ello puede representar un diseño técnicamente avanzado.

Pero todavía debemos preguntar:

¿puede implementarse?

¿cuánto cuesta cumplirla?

¿la autoridad tiene capacidad para supervisarla?

¿las diferencias de riesgo producen realmente diferencias razonables de carga?

¿funciona?

¿produce los resultados esperados?

Por ello, el BEER adopta como aprendizaje:

calidad regulatoria = diseño + implementación + capacidad operativa + costos + resultados.

En este expediente, la evidencia disponible es robusta respecto del diseño regulatorio.

La implementación y los resultados todavía deben observarse.

CRITERIO INSTITUCIONAL BEER

REGULACIÓN PROPORCIONAL BASADA EN RIESGOS

Una regulación basada en riesgos adquiere contenido sustantivo cuando la identificación y clasificación del riesgo producen consecuencias regulatorias diferenciadas y justificables tanto sobre las obligaciones de los sujetos regulados como sobre la intensidad de la supervisión pública.

Su calidad no depende únicamente de la sofisticación del modelo normativo, sino de que exista correspondencia entre riesgo, intensidad regulatoria, capacidad de implementación y costo de cumplimiento.

Cuando una reforma requiera nuevas capacidades organizacionales, tecnológicas o administrativas, su diseño debe incorporar una transición explícita entre publicación, vigencia, exigibilidad e implementación efectiva, con periodos e instrumentos compatibles con la complejidad de las obligaciones y las capacidades de los sujetos involucrados.

La proporcionalidad debe evaluarse sobre el sistema regulatorio en su conjunto: una obligación diferenciada conforme al riesgo no acredita por sí misma que el costo total de cumplimiento sea proporcional, del mismo modo que la existencia de costos fijos no acredita por sí misma desproporcionalidad.

La valoración final requiere contrastar riesgo, efectividad, capacidad de implementación y costo regulatorio mediante evidencia observable.

No deben extrapolarse automáticamente los instrumentos específicos de este régimen a otros sectores sin adaptación a su riesgo, naturaleza, objetivos y capacidades institucionales.

CINCO PREGUNTAS PARA EVALUAR UNA REGULACIÓN BASADA EN RIESGOS

1. ¿Identifica y clasifica efectivamente los riesgos relevantes?

2. ¿La clasificación produce consecuencias regulatorias diferenciadas y justificables?

3. ¿La intensidad de la supervisión pública también responde al nivel de riesgo?

4. ¿Existe una ruta viable entre publicación, vigencia, exigibilidad e implementación?

5. ¿La intensidad y costo total del sistema guardan una relación razonable con el riesgo y con los resultados regulatorios esperados?

CONCLUSIÓN ESTRATÉGICA

DER-015-2026 aporta una lección especialmente útil para el diseño regulatorio:

Regular según el riesgo no consiste simplemente en clasificar. Consiste en utilizar esa clasificación para decidir cuánto cumplimiento exigir, cuánto supervisar y cómo concentrar los recursos regulatorios donde el riesgo lo justifica.

Pero existe una segunda parte igualmente importante:

La proporcionalidad debe demostrarse en la implementación.

Por ello, el expediente permanecerá abierto a seguimiento.

Los hitos de 30 de noviembre de 2026, 1 de marzo de 2027, 1 de junio de 2027, cierre de 2027 y periodo de auditoría 2028 permitirán observar progresivamente si la arquitectura diseñada logra convertirse en una regulación implementable, proporcional y efectiva.