Durante años, muchas instituciones financieras en México entendieron la prevención de lavado de dinero como un ejercicio de cumplimiento formal: políticas actualizadas, capacitaciones obligatorias, expedientes integrados y reportes enviados a la autoridad. El caso de CIBanco, Intercam y Vector Casa de Bolsa debería marcar el final de esa lógica. Demostró algo que empresas y directivos necesitan asumir: tener controles no significa que éstos realmente funcionen.
El 25 de junio de 2025, el Departamento del Tesoro de Estados Unidos, a través de FinCEN, identificó a las tres instituciones como fuentes de preocupación principal en materia de lavado de dinero en relación con el tráfico ilícito de opioides. La autoridad señaló operaciones presuntamente vinculadas con organizaciones criminales mexicanas y, en algunos casos, con la adquisición de precursores químicos utilizados para producir fentanilo.
Lo relevante es que no hubo una sentencia penal. FinCEN actuó mediante facultades administrativas especiales y, aun así, las consecuencias fueron profundas: Vector transfirió parte de su negocio a Finamex, Intercam realizó operaciones de venta de activos y negocios a Kapital Bank y CIBanco terminó sujeto a un proceso de liquidación judicial.
En México, la CNBV impuso 53 sanciones a las tres instituciones por más de 185 millones de pesos. La comparación deja una lección importante: hoy una institución puede enfrentar consecuencias capaces de comprometer su viabilidad sin que exista previamente una condena penal.
Pero hay una discusión todavía más relevante. Hasta donde se ha informado públicamente respecto de los señalamientos de FinCEN, éstos no se han traducido en imputaciones penales contra directivos u oficiales de cumplimiento. Esto abre una pregunta que México tendrá que enfrentar: ¿dónde termina la responsabilidad administrativa de una institución y dónde comienza la responsabilidad individual de quienes conocieron, autorizaron o toleraron operaciones de riesgo?
En el sistema penal acusatorio, la responsabilidad penal es personal y debe probarse. Ocupar un cargo directivo no basta para atribuir un delito. Pero la existencia de manuales, comités y políticas tampoco puede convertirse en una defensa automática cuando existen señales de alerta conocidas y deliberadamente ignoradas.
Ahí está la verdadera lección para consejos de administración, directores generales y responsables de cumplimiento. La pregunta ya no es cuántos manuales tiene una empresa o cuántos reportes presentó, sino si realmente conoce con quién hace negocios, identifica al beneficiario final, entiende el origen de los recursos y tiene capacidad para actuar cuando las señales de riesgo comienzan a acumularse.
El cumplimiento ya no puede medirse por expedientes, reportes o comités, sino por la capacidad de detectar riesgos, documentar decisiones y actuar frente a ellos.
En prevención de lavado de dinero, el expediente más peligroso no siempre es el que falta. Puede ser aquel que demuestra que la organización conocía el riesgo y decidió no actuar.