Hay un error que muchas empresas guatemaltecas van a cometer antes del 17 de septiembre de 2026: pedirle el manual a otra empresa, cambiarle el logo y darlo por cumplido. Ese atajo puede salir muy caro. Las multas del Decreto 15-2026 llegan hasta US$300,000, y un manual copiado no resiste ni la primera pregunta de un verificador de la IVE.
En este artículo le explicamos cómo construir un Manual de Prevención LD/FT/FPADM que sí funcione: el proceso de tres pasos que exige la ley (identificar, evaluar y mitigar el riesgo), el contenido mínimo del artículo 12 y la revisión anual del artículo 15. Y más adelante le mostramos por qué el manual propio, además de obligación, es su mejor defensa documentada cuando algo sale mal. Ese punto, por sí solo, justifica la lectura completa.
Primero lo primero: ¿qué es el enfoque basado en riesgo?
El Decreto 15-2026, la nueva ley contra el lavado de dinero de Guatemala, abandonó la idea de aplicar los mismos controles a todos por igual. En su lugar, el artículo 8 ordena una “administración basada en riesgo”: un proceso integral mediante el cual cada Persona Obligada debe identificar, evaluar y mitigar el Riesgo LD/FT/FPADM al que está expuesta, asignando sus recursos según los riesgos identificados.
Las siglas se leen así: LD es lavado de dinero u otros activos; FT es financiamiento del terrorismo; FPADM es financiamiento de la proliferación de armas de destrucción masiva.
El mismo artículo 8 fija dos reglas que ordenan todo lo demás:
- Proporcionalidad. El proceso debe ser proporcional con la naturaleza, volumen y complejidad de las actividades de cada obligado. Una cooperativa pequeña no necesita los sistemas de un banco. Una inmobiliaria de tres personas no necesita el aparato de una aseguradora.
- Aprobación y documentación. El proceso y sus actualizaciones deben ser conocidos y aprobados por el órgano de dirección superior de la Persona Obligada, o quien haga sus veces, y estar debidamente documentados.
Ese segundo punto ya adelanta algo: si su consejo de administración nunca vio el manual, usted no cumple, aunque el documento exista.
Paso 1: identificar el riesgo (artículo 9)
El artículo 9 exige que cada Persona Obligada identifique el riesgo al que la exponen sus actividades y su modelo de negocio, definiendo una metodología propia. La ley fija cuatro factores mínimos que toda metodología debe considerar:
- La base de clientes. ¿Quiénes son? ¿Personas individuales, empresas, extranjeros, PEP, clientes ocasionales?
- La ubicación geográfica. ¿Dónde opera usted y de dónde vienen sus clientes? Zonas fronterizas, plazas con alta circulación de efectivo o clientes de jurisdicciones de alto riesgo no pesan igual que una cartera local conocida.
- Los canales de distribución. ¿Vende cara a cara, por agentes, en línea, sin presencia física del cliente?
- Los bienes, productos o servicios ofrecidos. ¿Cuáles de sus productos permiten mover valor con facilidad? No es lo mismo vender repuestos que recibir vehículos usados como parte de pago.
Sobre cada factor hay que identificar variables y eventos de riesgo. El resultado de este paso es lo que en la práctica se llama matriz de riesgo: el inventario ordenado de en qué puntos su negocio podría ser usado para lavar dinero.
Aquí se ve por qué el manual copiado falla desde el inicio: la matriz de una ferretería de barrio y la de una comercializadora de vehículos importados no se parecen en nada. Si los factores no describen su negocio real, todo lo que sigue queda mal construido.
Paso 2: evaluar el riesgo (artículo 10)
Identificar no basta; hay que medir. El artículo 10 ordena evaluar periódicamente cómo el riesgo identificado puede afectar a la Persona Obligada, mediante dos ejercicios:
- Una autoevaluación del negocio en su conjunto.
- Evaluaciones de riesgo particulares de la relación comercial con cada cliente.
Para ambas, la ley pide analizar la información obtenida con dos lentes: la probabilidad de ocurrencia del riesgo y el posible impacto sobre las actividades. Con eso se mide el nivel de riesgo: alto, medio o bajo, según la escala que su metodología defina.
Además, las evaluaciones deben considerar, en lo aplicable, los resultados de las evaluaciones nacionales o sectoriales sobre riesgos, amenazas o vulnerabilidades que la Superintendencia de Bancos, a través de la IVE, comunique. Es decir, su análisis interno se complementa con lo que la autoridad ya sabe del riesgo de su sector.
Paso 3: mitigar el riesgo (artículo 11)
Con el riesgo medido, el artículo 11 ordena decidir la forma más apropiada y eficaz de mitigarlo y administrarlo. Eso se traduce en implementar de manera efectiva políticas, procedimientos, controles y sistemas de información que permitan monitorear, informar y controlar el nivel de riesgo.
La palabra “efectivamente” no es adorno. Un control escrito que nadie ejecuta no mitiga nada. Si su política dice que todo cliente nuevo llena un formulario de perfil, tiene que existir el formulario, alguien que lo pida y un archivo donde conste.
El artículo 11 agrega una obligación que sorprende a más de alguno: las etapas del proceso de administración del riesgo deben llevarse a cabo antes del lanzamiento de nuevos bienes, productos o servicios, y antes del uso o adopción de nuevas tecnologías o prácticas comerciales. ¿Va a empezar a aceptar pagos con una billetera digital? ¿Va a abrir ventas en línea? Primero evalúe el riesgo, documente la evaluación y ajuste los controles. Después lance.
Los detalles de este capítulo se desarrollarán en las disposiciones que emita la SIB a través de la IVE, y el reglamento general de la ley debe estar listo dentro de los seis meses siguientes a la vigencia (artículo 127). Pero el proceso de tres pasos ya está completo en la ley: no hay que esperar para empezar.
El Manual de Prevención LD/FT/FPADM: artículo 12
Todo lo anterior debe constar en un documento. El artículo 12 ordena que las Personas Obligadas, acorde con la naturaleza, volumen y complejidad de sus actividades, establezcan programas con políticas, procedimientos, controles y sistemas de información para administrar el riesgo de forma permanente, y que esos programas consten en un manual: el Manual de Prevención LD/FT/FPADM.
El contenido mínimo del manual, según los literales a) a e) del artículo 12, es este:
a) Selección de personal con filtros verificables
Estándares adecuados para la selección, contratación o nombramiento del personal, directores, agentes u otros intermediarios y demás colaboradores, sin importar la forma jurídica de su contratación, que aseguren su integridad e idoneidad. El literal incluye dos filtros concretos:
- Verificar que las personas no figuren en las listas emitidas por el Consejo de Seguridad de las Naciones Unidas.
- En ningún caso contratar o nombrar a quienes hayan sido condenados por lavado de dinero o financiamiento del terrorismo, mientras no hayan transcurrido cinco años de cumplida la pena.
b) Plan continuo de capacitación
La elaboración y ejecución de un plan continuo de capacitación para el personal, directores, agentes, intermediarios y colaboradores cuyo puesto requiera comprender el riesgo LD/FT/FPADM, en función de sus responsabilidades. La ley añade una exigencia de resultado: la Persona Obligada debe asegurarse, mediante mecanismos idóneos, de que los colaboradores adquirieron las competencias según su puesto. Firmar la lista de asistencia no basta; hay que poder demostrar que la gente aprendió, por ejemplo con evaluaciones.
c) Debida diligencia, monitoreo y alertas
Lo referente a la debida diligencia del cliente, el monitoreo de todas las transacciones y la detección de alertas para identificar y analizar transacciones inusuales y sospechosas. Este literal conecta el manual con el resto del sistema: de las alertas que aquí se definan saldrán, cuando corresponda, los reportes de transacciones sospechosas a la IVE.
d) Las demás políticas que exijan la ley y el reglamento
Las políticas, procedimientos, controles y sistemas que, conforme a la ley, su reglamentación y demás disposiciones aplicables, deban tenerse. Es la puerta por donde entrarán al manual los requisitos que el reglamento detalle.
e) Lo que la propia empresa considere necesario
Otras políticas y controles que la propia Persona Obligada considere necesarios para la adecuada prevención. La ley invita a ir más allá del mínimo cuando el negocio lo amerite. Un ejemplo frecuente: si el efectivo no es esencial para su operación, una política interna que lo restrinja reduce el riesgo de raíz.
Aprobación obligatoria. El artículo 12 cierra con la misma regla del artículo 8: el manual y sus modificaciones y actualizaciones deben ser aprobados por el órgano de dirección superior de la Persona Obligada o quien haga sus veces. Guarde el acta de esa aprobación: es la evidencia de que la dirección conoce y respalda el programa.
La ejecución diaria del manual recae en el oficial de cumplimiento, el funcionario de alta gerencia que el artículo 16 define como único enlace con la IVE. Las personas individuales pueden ejercer esa función por sí mismas, según el artículo 18.
¡Vesco Consultores puede ayudarle en muchas áreas de su negocio!
- Auditoría: Vamos más allá de la evaluación financiera y fiscal.
- Contabilidad: Una contabilidad sin estrategia son solo números.
- Startup: Configuración legal y fiscal para iniciar su negocio.
- Asesoría Fiscal: Minimice contingencias fiscales.
- Abogados Tributarios: Servicio especializado ante la SAT.
- Manejo de Nómina: Nos convertimos en su equipo de RRHH.
Grupos financieros: un manual unificado (artículo 13)
Las Personas Obligadas que integren un Grupo Financiero, conforme a la Ley de Bancos y Grupos Financieros, pueden adoptar un Manual de Prevención LD/FT/FPADM unificado. Condiciones del artículo 13:
- Debe ser aplicable, en lo que corresponda, a cada entidad del grupo.
- Debe aprobarlo previamente el Consejo de Administración o autoridad superior de la empresa controladora o responsable del grupo.
- Debe ser efectivamente implementado por cada Persona Obligada que forma parte del grupo.
Su contenido mínimo incluye todo lo de los literales a) a e) del artículo 12 para cada entidad, más políticas y procedimientos que permitan el intercambio de información a nivel de grupo para la debida diligencia del cliente y la administración del riesgo, con salvaguardas de confidencialidad sobre la información intercambiada.
Sucursales y subsidiarias en el extranjero (artículo 14)
Si la Persona Obligada tiene oficinas, agencias, sucursales o subsidiarias de propiedad mayoritaria en el extranjero, debe velar por que sus programas de prevención les apliquen cuando la normativa del país anfitrión exija programas menos estrictos. En otras palabras: rige el estándar más alto, el guatemalteco.
¿Y si la legislación del país anfitrión no permite implementar los programas? Entonces la Persona Obligada debe aplicar medidas adicionales apropiadas para administrar el riesgo e informar a la Intendencia de Verificación Especial.
Revisión anual: el manual no se archiva, se evalúa (artículo 15)
Un manual que se escribió una vez y se guardó en una gaveta incumple la ley. El artículo 15 exige procedimientos para evaluar anualmente el cumplimiento y la efectividad de los programas de prevención contenidos en el manual. La evaluación puede hacerla:
- La auditoría interna de la Persona Obligada, o quien haga sus veces; o
- Auditores especializados de su elección.
Para las entidades supervisadas por la SIB hay una capa adicional: cuando contraten auditoría externa para dictaminar estados financieros, el contrato debe estipular que los auditores externos también emitirán un informe de aseguramiento, con una conclusión por escrito sobre el cumplimiento y efectividad de los programas de prevención. La Persona Obligada debe enviar copia de ese informe de aseguramiento a la IVE en un plazo no mayor de quince (15) días posteriores a su recepción.
Para las entidades supervisadas y las que formen parte de un Grupo Financiero con manual unificado, los procedimientos de auditoría interna deben realizarse como mínimo una vez por año. El contenido mínimo del informe de los auditores externos lo definirá el reglamento.
El error del manual copiado y el valor del manual propio
Volvamos a la promesa del inicio. ¿Por qué el manual copiado es tan mala idea, y por qué el propio es su mejor defensa documentada?
Por qué falla el copiado. El sistema completo de la ley depende de que el manual describa su negocio real. Si su matriz de riesgo habla de productos que usted no vende y de clientes que no tiene, sus controles apuntan al lugar equivocado. Un verificador de la IVE lo detecta con preguntas simples: ¿por qué este factor?, ¿dónde está la evaluación de este producto?, ¿quién aprobó esta actualización? Y recuerde el marco sancionatorio: el artículo 66 contempla desde amonestación escrita hasta multas de US$500 a US$300,000, graduadas según la gravedad del incumplimiento (artículo 65). Los detalles están en nuestro artículo sobre sanciones administrativas del Decreto 15-2026.
Por qué protege el propio. Piense en el peor escenario: un cliente suyo resulta involucrado en un caso de lavado. La pregunta que le harán no es si usted adivinó el delito, sino si tenía controles razonables y los aplicó. Un manual hecho a la medida, aprobado por su dirección, con capacitaciones evaluadas, expedientes de debida diligencia completos y revisiones anuales documentadas, es la constancia de que su organización hizo lo que la ley le pedía. Además, la ley misma refuerza esta lógica: quien reporta de buena fe queda exento de responsabilidad legal (artículo 37). El cumplimiento documentado no solo evita multas: sostiene su posición ante cualquier autoridad.
¿Empezar ya o esperar el reglamento? Empezar ya. La estructura del proceso (artículos 8 al 15) está completa en la ley y no va a cambiar. El reglamento afinará formatos, plazos y detalles. Quien llegue al 17 de septiembre de 2026 con su matriz construida y su manual aprobado solo tendrá que ajustar; quien llegue en cero tendrá que correr.
Ejemplos prácticos
Caso 1: la inmobiliaria que adaptó, no copió. Una inmobiliaria en Guatemala capital identificó sus factores: clientes extranjeros no presenciales (riesgo alto), pagos desde el exterior, propiedades de alto valor en zonas exclusivas. Su matriz clasificó a los clientes en tres niveles y definió requisitos documentales para cada uno. Cuando un comprador quiso pagar un apartamento con fondos de una sociedad recién constituida en otra jurisdicción, el control de alto riesgo exigió documentar el beneficiario final, la persona con participación del 15% o más o control efectivo (artículo 2, literal b). El expediente quedó completo y la operación, respaldada.
Caso 2: la cooperativa y el nuevo producto digital. Una cooperativa de ahorro y crédito en Alta Verapaz planeó lanzar una aplicación para transferencias entre asociados. Aplicando el artículo 11, evaluó el riesgo antes del lanzamiento: canal no presencial, posibilidad de operaciones múltiples y rápidas. Ajustó límites por transacción, agregó alertas automáticas y documentó todo en una actualización del manual que su consejo de administración aprobó en acta. Lanzó el producto un mes después, con evidencia de haber cumplido el proceso.
Caso 3: el vendedor de vehículos con manual prestado. Un importador de vehículos usados descargó el manual de un conocido del sector financiero y le cambió la carátula. En una verificación, la IVE le preguntó por qué su matriz evaluaba riesgos de corresponsalía bancaria y no decía nada de vehículos recibidos como parte de pago ni de compradores con efectivo. No pudo explicar su propia metodología ni mostrar el acta de aprobación. Resultado probable bajo la nueva ley: hallazgos por incumplimiento, posible multa graduada según los artículos 65 y 66 y un plan de acción correctivo con plazo máximo de seis meses (artículo 72).
Caso 4: la empresa de factoraje y su capacitación con evidencia. Una empresa de factoraje capacitó a su personal comercial y operativo dos veces al año. Además de las diapositivas, aplicó evaluaciones cortas al final de cada sesión y guardó los resultados por colaborador. Cuando la auditoría especializada revisó el programa anual conforme al artículo 15, la empresa pudo demostrar no solo que capacitó, sino que su gente adquirió las competencias, tal como exige el artículo 12, literal b).
Preguntas frecuentes
Es el documento que exige el artículo 12 del Decreto 15-2026 a las Personas Obligadas. Contiene las políticas, procedimientos, controles y sistemas de información para administrar de forma permanente el riesgo de lavado de dinero, financiamiento del terrorismo y financiamiento de la proliferación de armas de destrucción masiva, ajustado a la naturaleza, volumen y complejidad de cada negocio.
Según el artículo 8, es el proceso integral de identificar, evaluar y mitigar el riesgo LD/FT/FPADM al que está expuesta cada Persona Obligada, asignando recursos según los riesgos encontrados. Debe ser proporcional al negocio, estar documentado y contar con la aprobación del órgano de dirección superior de la entidad.
El artículo 9 fija cuatro factores mínimos: la base de clientes, la ubicación geográfica, los canales de distribución y los bienes, productos o servicios ofrecidos. Sobre cada factor, la Persona Obligada debe identificar variables y eventos de riesgo, usando una metodología propia que refleje su modelo de negocio real.
Cinco bloques: estándares de selección de personal con verificación de listas de la ONU y prohibición de contratar condenados por lavado o financiamiento del terrorismo hasta cinco años de cumplida la pena; un plan continuo de capacitación; debida diligencia, monitoreo y alertas; las demás políticas que exijan ley y reglamento; y las que la propia empresa considere necesarias.
El órgano de dirección superior de la Persona Obligada, o quien haga sus veces, debe conocer y aprobar el manual, sus modificaciones y actualizaciones, según los artículos 8 y 12. En grupos financieros con manual unificado, la aprobación corresponde al Consejo de Administración o autoridad superior de la empresa controladora o responsable del grupo.
No. El artículo 11 ordena llevar a cabo las etapas del proceso de administración del riesgo antes del lanzamiento de nuevos bienes, productos o servicios, y antes de adoptar nuevas tecnologías o prácticas comerciales. La evaluación previa debe quedar documentada y, si cambia el nivel de riesgo, el manual debe actualizarse y aprobarse.
El artículo 15 exige evaluar anualmente el cumplimiento y la efectividad de los programas, mediante auditoría interna o auditores especializados. Las entidades supervisadas por la SIB deben además pactar con sus auditores externos un informe de aseguramiento y enviar copia a la IVE en un plazo no mayor de quince (15) días desde su recepción.
Sí. El artículo 13 permite un Manual de Prevención LD/FT/FPADM unificado, aplicable a cada entidad del grupo, aprobado por la autoridad superior de la empresa controladora e implementado efectivamente por cada Persona Obligada. Debe incluir políticas de intercambio de información para la debida diligencia, con salvaguardas de confidencialidad.
El documento existirá, pero no describirá sus riesgos reales: la matriz, los controles y las alertas no corresponderán a su negocio. Ante una verificación de la IVE, eso deriva en hallazgos de incumplimiento sancionables con amonestación escrita o multas de US$500 a US$300,000, graduadas por gravedad conforme a los artículos 65 y 66.
No. Los profesionales universitarios y notarios del artículo 3, literal c), numerales 2 y 3, tienen un régimen especial delimitado por el artículo 42: inscripción ante la IVE, registro por cliente, aviso mensual ante incongruencias y conservación de información. El manual del artículo 12 aplica al resto de Personas Obligadas.
¿Su empresa está lista para construir su manual de prevención bajo el Decreto 15-2026?
En VESCCO, miembro de XLNC—asociación global de firmas independientes de contabilidad corporativa, impuestos y derecho tributario y corporativo— lo acompañamos con un equipo líder en servicios profesionales y alcance en todos los continentes.
Contáctenos: Tel. +502 2215-7575 · [email protected]
Sus impuestos ya no deben ser un problema, en Vesco Consultores hacemos todo por usted…
Valora este artículo con 5 estrellas, esto nos motiva a seguir compartiendo contenido de valor para ti.
Vesco Consultores: Firma de auditoría en Guatemala
📞 Contáctanos hoy mismo en el +502 2215-7575
📧 O envíanos un correo a [email protected]