Cómo cotejar clientes, proveedores y empleados contra listas de riesgo

A quién cotejar

• Clientes y usuarios, personas físicas y morales, en el alta y durante la relación.
• Beneficiarios controladores, apoderados y accionistas relevantes de los clientes persona moral: la LFPIORPI pide identificar al beneficiario controlador, y las sanciones suelen alcanzar a quien está detrás de la empresa.
• Proveedores, sobre todo los de servicios, por el riesgo de facturas sin materialidad (SAT 69-B).
• Empleados y candidatos, como parte de los procesos de selección de personal.
• Socios, distribuidores y contrapartes en operaciones de alto valor o internacionales.

Qué listas revisar

Un cotejo completo cubre cuatro grupos de listas:

• Sanciones internacionales: OFAC SDN y Non-SDN, la lista consolidada de la ONU, las sanciones de la Unión Europea y la UK Sanctions List.
• Listas nacionales: las Personas Políticamente Expuestas de México y la lista del SAT 69-B. Si tu entidad recibe la Lista de Personas Bloqueadas de la UIF, también debes compararla: es reservada y la autoridad la entrega directamente a cada sujeto obligado.
• Riesgo geográfico: los países GAFI y los REFIPRE.
• Tus listas propias: lo que tu empresa ya sabe por su operación.

Paso a paso en el alta de un cliente

1. 1

   Reúne los datos de identificación

   Nombre completo tal como aparece en la identificación oficial, RFC, CURP, fecha de nacimiento y nacionalidad; para personas morales, razón social, RFC, país de constitución y los datos de su beneficiario controlador y de sus apoderados. Sin datos secundarios no podrás descartar homónimos.

2. 2

   Consulta todas las listas en una sola búsqueda

   Busca por nombre y, cuando lo tengas, por RFC o identificación, contra las listas de sanciones (OFAC, ONU, Unión Europea, Reino Unido), las nacionales (PEPs, SAT 69-B) y tus listas propias. Incluye las variantes del nombre: los sancionados rara vez operan con su nombre principal y las listas registran alias.

3. 3

   Revisa el nivel de coincidencia

   Una coincidencia por nombre no es una confirmación. Compara fecha de nacimiento, nacionalidad, RFC o documentos contra los datos del registro. Si no coinciden, documenta por qué lo descartas como homónimo.

4. 4

   Escala lo que no puedas descartar

   Las coincidencias que se confirman, o que no puedes descartar con los datos disponibles, pasan al oficial de cumplimiento con el expediente completo, antes de cerrar la operación.

5. 5

   Decide y aplica la medida que corresponde a cada lista

   Aprobar, aprobar con debida diligencia reforzada, no operar o, si hay sospecha, presentar el aviso o reporte correspondiente. La medida depende de la lista en que aparece la persona (ver abajo) y de lo que diga tu manual de políticas.

6. 6

   Guarda la constancia en el expediente

   Conserva la evidencia de la consulta —fecha, datos buscados, listas revisadas, resultado— junto con la decisión tomada y quién la tomó. Es lo primero que pide una auditoría o una visita de verificación.

Monitoreo continuo: el cotejo no termina en el alta

OFAC, la ONU, la Unión Europea y el Reino Unido agregan y retiran personas sin calendario fijo, y alguien puede volverse PEP al asumir un cargo. Un cliente que salió limpio en el alta puede aparecer en una lista meses después. Por eso el cotejo se repite:

• De forma periódica sobre toda la cartera, con mayor frecuencia para los clientes de mayor riesgo.
• En cada operación relevante y en cada actualización de expediente.
• Cuando una lista publica cambios importantes, como nuevas designaciones de un régimen que toca a tu sector.

Para quienes realizan actividades vulnerables, la LFPIORPI reformada en 2025 pide contar con mecanismos automatizados de monitoreo permanente, con seguimiento intensificado para PEPs y clientes de alto riesgo. Consultar por API desde tu sistema, o volver a cotejar la cartera con una carga por lotes, permite cumplirlo sin depender de revisiones manuales. Más detalle en la guía de actividades vulnerables.

Qué hacer ante una coincidencia, lista por lista

Antes de cualquier medida, confirma que se trata de la misma persona. Confirmada la coincidencia, la respuesta depende de la lista:

OFAC SDN

Bloqueo total bajo jurisdicción de EE.UU. Si la identidad se confirma, lo prudente es no operar y evaluar tu exposición al sistema financiero estadounidense (pagos en dólares, bancos corresponsales, contrapartes en EE.UU.).

OFAC Non-SDN

Restricción parcial: identifica qué prohíbe la lista (SSI, CAPTA, NS-MBS, etc.) y si tu operación la toca. No siempre implica dejar de operar.

ONU

Las resoluciones del Consejo de Seguridad son vinculantes para México. Ante una coincidencia confirmada, no operes y sigue el procedimiento de tu manual; las entidades supervisadas por la CNBV reciben estas listas por el SITI PLD/FT.

Unión Europea y Reino Unido

Congelación de fondos para quien está bajo su jurisdicción. Para una empresa mexicana, el riesgo es indirecto pero real: bancos, clientes y proveedores europeos o británicos no operarán con la persona sancionada.

PEPs

No es una prohibición. Aplica debida diligencia reforzada: aprobación de un nivel jerárquico superior, origen de los recursos y seguimiento intensificado de sus operaciones.

SAT 69-B

Depende de la etapa. Un proveedor definitivo emite facturas sin efectos fiscales; uno presunto amerita revisión. En ambos casos es una señal de riesgo que conviene documentar.

Países GAFI y REFIPRE

Factor de riesgo geográfico: eleva la calificación de riesgo del cliente o de la operación y puede exigir medidas reforzadas, según la jurisdicción.

Listas propias

Lo que diga tu manual: rechazar, pedir aprobación del oficial de cumplimiento o revisar con más detalle. Lo importante es que la decisión quede documentada.

Si además existe sospecha de que los recursos tienen origen ilícito, quien realiza actividades vulnerables debe presentar un aviso dentro de las 24 horas siguientes, incluso si la operación no se celebró; las entidades financieras siguen el procedimiento de reportes de sus propias disposiciones. Y si el cliente se niega a entregar la información para identificarlo, la LFPIORPI indica abstenerse de la operación.

Evidencia para la auditoría

Un cotejo que no se puede demostrar, para efectos de una auditoría, no existe. La LFPIORPI pide a quienes realizan actividades vulnerables conservar la información y documentación de soporte al menos diez años y someterse cada año a una revisión de auditoría. Para cada consulta conviene guardar:

• Fecha y hora de la consulta, y el usuario que la realizó.
• Los datos exactos que se buscaron (nombre, RFC u otra identificación).
• Las listas consultadas y el resultado de cada una, incluso cuando no hubo coincidencias.
• La justificación de cada homónimo descartado.
• La decisión tomada ante cada coincidencia, quién la aprobó y cuándo.

En Listas de Riesgo cada búsqueda genera una constancia en PDF con esos datos y queda en la bitácora de auditoría de la cuenta.

Errores frecuentes

• Buscar sólo el nombre principal y no los alias ni las variantes de escritura.
• Cotejar sólo en el alta y nunca volver a revisar la cartera.
• Revisar al cliente persona moral, pero no a su beneficiario controlador ni a sus apoderados.
• Descartar coincidencias sin dejar por escrito por qué.
• Consultar listas desactualizadas, como la lista consolidada de OFSI, cerrada desde enero de 2026.

Preguntas frecuentes