Fintech y PLD: imperativo de una regulación proporcional

Aunque el riesgo no es el mismo para una institución con grandes fondos y otra de menor capital en materia de Prevención de Lavado de Dinero y Financiamiento al Terrorismo, la regulación actúa igual para ambos casos

Por: Gabriela Salazar, profesora de la Escuela Libre de Derecho e investigadora en la  Asociación Nacional de Inteligencia Artificial, y Melina Cabrera, abogada financiera egresada del ITAM

Cuando en septiembre de 2018 la Comisión Nacional Bancaria y de Valores (CNBV) emitió las Disposiciones de carácter general en materia de Prevención de Lavado de Dinero y Financiamiento al Terrorismo (PLD/FT) aplicables a las Instituciones de Tecnología Financiera (ITF) (las “Disposiciones”), el sector fintech mexicano apenas comenzaba a tomar forma. Casi siete años después, el ecosistema ha crecido y madurado, y con él emerge una pregunta que el mercado ya no puede ignorar: ¿tiene sentido que una fintech con activos menores al 0.1% del segmento enfrente las mismas cargas regulatorias que un jugador que concentra más de un tercio del sistema? 

Las Disposiciones, ancladas en las 40 Recomendaciones del Grupo de Acción Financiera Internacional (GAFI), cubren un amplio espectro: políticas de identificación y conocimiento del cliente, monitoreo de operaciones, reportes regulatorios, estructuras internas de cumplimiento, auditorías anuales, capacitación y sistemas automatizados de detección de operaciones inusuales, internas preocupantes o relevantes.

El marco no es del todo rígido. Las Disposiciones contemplan ciertos ajustes de proporcionalidad del lado de los clientes: permiten medidas simplificadas de identificación para clientes de bajo riesgo —cuentas de personas físicas de nivel 1 y 2 y transferencias internacionales dentro de límites específicos en UDIS—; aunque si esos límites se exceden, el expediente completo es obligatorio conforme al artículo 11. Las ITF con menos de 25 personas también quedan exentas de constituir el Comité de Comunicación y Control previsto en el artículo 46.

Pero fuera de esos supuestos, el marco regulatorio mantiene obligaciones estructurales homogéneas para todas las ITF: la política de conocimiento del cliente basada en riesgos del artículo 34, el programa de capacitación y difusión, los sistemas automatizados, la auditoría anual de cumplimiento. Las condiciones operativas de cada institución —su tamaño, su volumen de transacciones, su perfil de riesgo real— no modifican esas obligaciones. Y ahí está la raíz del problema.

Los números cuentan la historia con más claridad que cualquier argumento teórico. En octubre de 2024, la CNBV publicó por primera vez datos históricos sobre el desempeño de las ITF mexicanas, lo que constituyó un hito de transparencia para el sector. Las cifras al cierre de 2023 revelan una concentración operativa que hace difícil sostener la lógica de un régimen único para todas las instituciones.

En el segmento de fondos de pago electrónico, tres instituciones —STP, Mercado Pago y SPIN by OXXO— concentraban el 35.42%, el 30.10% y el 12.16% de los fondos emitidos, respectivamente. Juntas controlaban más del 77% del segmento, según la publicación histórica de la CNBV de octubre de 2024. En el otro extremo, docenas de Instituciones de Fondos de Pago Electrónico (IFPE) operaban con participaciones por debajo de 1%. Al cierre de 2023, de las 50 IFPE autorizadas, sólo 37 se encontraban en operación activa. La brecha entre los grandes y los pequeños no es de grados: es de órdenes de magnitud.

En el segmento de financiamiento colectivo, la asimetría es aún más marcada. Los activos totales del crowdfunding mexicano son marginales frente a los fondos de pago electrónico y minúsculos frente a la banca tradicional. Dentro de ese universo acotado, tres instituciones —Play Business (22.26%), Cien Ladrillos (13.39%) y Yo Te Presto (12.50%)— concentraban casi la mitad del segmento. Al cierre de 2023, de las 21 instituciones de financiamiento colectivo autorizadas, solo 17 estaban en operación.

La conclusión que surge de estos datos no es ideológica: es técnica. Una institución que moviliza más de 35% de los fondos de pago electrónicos del país no tiene el mismo perfil de riesgo PLD/FT que una que opera con el 0.01%. Y si el riesgo no es el mismo, la pregunta obligada es por qué la regulación sí lo es.

El argumento tampoco contradice los estándares internacionales, los refuerza. La Recomendación 1 del GAFI establece que las medidas para prevenir o mitigar el lavado de activos y el financiamiento al terrorismo, deben ser proporcionales a los riesgos identificados y que ese enfoque basado en riesgo debe ser el fundamento esencial para la asignación eficaz de recursos en todo el régimen PLD/FT. El propio GAFI admite que cuando los países identifiquen riesgos menores, pueden permitir medidas simplificadas bajo ciertas condiciones. La proporcionalidad, en este caso, no es una concesión, es el principio rector (“Las 40 Recomendaciones del GAFI” ubicadas en el enlace: https://www.cnbv.gob.mx/PrevencionDeLavadoDeDinero/Documents/RecomiendacionesGAFI2012.pdf).

El debate, entonces, no es si las fintech deben cumplir con el régimen PLD/FT, deben hacerlo. La cuestión es si tiene sentido calibrar esas exigencias en función de la Evaluación Basada en Riesgos (EBR) que las propias ITF ya están obligadas a elaborar, o en función de niveles operativos previamente definidos. El marco regulatorio es, sin duda, un activo del sector: brinda certeza jurídica y genera confianza entre usuarios e inversionistas, pero cuando las cargas regulatorias no guardan proporción con el riesgo real de cada entidad, ese activo puede convertirse en un freno, especialmente para los jugadores más pequeños, que ya de por sí operan con recursos limitados.

El precedente ya existe dentro del propio marco: hay medidas simplificadas para ciertos tipos de clientes. Extender esa misma lógica a las instituciones reguladas —en función de su tamaño, volumen operativo y perfil de riesgo— sería coherente con el espíritu del enfoque basado en riesgo que el GAFI promueve. Un régimen proporcional no requiere reinventar el marco: necesita darle consecuencias reales a los datos que las propias ITF ya están obligadas a producir.

Proporcionalidad no es sinónimo de exención. No implica ausencia de controles ni relajación del cumplimiento. Significa que las exigencias regulatorias se calibren conforme a la realidad operativa y al riesgo efectivo de cada entidad, asegurando que los recursos, tanto de las ITF como de las autoridades supervisoras, se concentren donde el riesgo realmente lo demanda. La tendencia de los últimos años habla por sí sola: el ritmo de nuevas autorizaciones ha disminuido de forma sostenida desde el pico de 2023, y el número de solicitudes entrantes también se ha contraído. El ecosistema fintech mexicano está mandando una señal que vale la pena escuchar.

El sector fintech mexicano es el conjunto de empresas que combina las finanzas y la tecnología para ofrecer servicios financieros digitales.

Recomendacionesdel GAFI

Establecer un sistema en combate al lavado
de dinero y financiamiento al terrorismo.

Normas para evitar el financiamiento
a las armas de destrucción masiva.

Puntos destacados: monitoreo de operaciones, reportes regulatorios, auditorías anuales.