México: Las nuevas reglas antilavado obligan a los sujetos vulnerables a implantar un modelo integral de cumplimiento basado en riesgos para 2027

El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, por el que se modifican las Reglas de Carácter General (RCG) de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI o Ley). Las nuevas RCG desarrollan las obligaciones introducidas por la reforma a la LFPIORPI publicada el 16 de julio de 2025 y entrarán en vigor el 30 de noviembre de 2026, salvo los plazos específicos previstos para determinadas obligaciones.

La reforma a las RCG constituye el desarrollo regulatorio esperado para hacer operativas las nuevas obligaciones que la LFPIORPI impuso a quienes realizan actividades vulnerables. El marco deja de concentrarse principalmente en la identificación de clientes, integración de expedientes, acumulación de operaciones y presentación de avisos, para exigir un sistema integral de cumplimiento en materia de prevención de lavado de dinero basado en riesgos. En este contexto, las RCG desarrollan, entre otros aspectos, el enfoque basado en riesgos, el conocimiento del cliente, las personas políticamente expuestas (PEPs), el beneficiario controlador, los mecanismos automatizados y la auditoría.

En términos operativos, el nuevo régimen exige más que actualizar el manual de políticas internas. Para muchos sujetos obligados implicará revisar y, en su caso, rediseñar los procesos de alta y conocimiento del cliente o usuario; establecer una metodología formal para identificar, medir y mitigar riesgos; clasificar a los clientes por grado de riesgo; definir y monitorear su perfil transaccional; aplicar medidas de debida diligencia reforzada cuando corresponda; robustecer la identificación del beneficiario controlador y de PEPs; implementar alertas y mecanismos automatizados verificables; establecer procedimientos para avisos de 24 horas; fortalecer la capacitación y selección de personal; y generar evidencia suficiente para las revisiones de auditoría. En consecuencia, las decisiones, controles y medidas adoptadas deberán poder justificarse y demostrarse ante la autoridad con base en el riesgo identificado.

Evolución del marco regulatorio de la LFPIORPI

La publicación de las nuevas RCG complementa el desarrollo normativo iniciado con la reforma a la LFPIORPI de julio de 2025. Desde entonces, el nuevo marco de cumplimiento se ha construido en tres etapas:

Principales novedades de las RCG reformadas

• Enfoque basado en riesgos (capítulo II quáter). Se establece la obligación de diseñar e implementar una metodología de evaluación de riesgos que considere los actos u operaciones, tipos de clientes, áreas geográficas y canales de distribución, así como indicadores específicos relacionados con los delitos previstos en los artículos 139 Quáter y 400 bis del Código Penal Federal.
• Clasificación del grado de riesgo del cliente (capítulo III bis). Se deberá contar con un modelo de evaluación que clasifique a los clientes o usuarios por grado de riesgo individual -bajo, medio y alto, como mínimo- y permita evaluarlos al menos cada seis meses.
• Conocimiento del cliente (capítulo III ter). Se desarrolla una política integral que incorpora el perfil transaccional, un sistema de alertas, seguimiento reforzado para clientes de alto riesgo y cuestionarios de identificación, además de medidas reforzadas para PEPs y sus cónyuges o dependientes económicos.
• Lista de PEPs (capítulo III quáter). Se detalla la definición de persona políticamente expuesta, nacional y extranjera, incluyendo a cónyuges, concubinos y familiares hasta segundo grado. La consulta se realizará a través de la aplicación "Consulta PEP 2.0" de la UIF.
• Beneficiario controlador (capítulo III quinquies). Se establecen criterios detallados para su identificación, con un orden de prelación que inicia con la persona física que posea el 25% o más del capital social, seguida de quien controle por otros medios y, finalmente, el funcionario administrativo de mayor grado. Para fideicomisos, se establece un análisis específico que obliga a identificar a las personas físicas que en última instancia ejerzan control efectivo y, cuando alguna de las partes relevantes sea una persona moral o estructura jurídica, seguir la cadena de propiedad y control hasta llegar a una persona física.
• Avisos por sospecha y por hechos o indicios (aviso 24 horas). Se regulan con mayor detalle los avisos que deben presentarse dentro de las 24 horas siguientes a que se reconozca actividad sospechosa del cliente o se conozcan hechos que puedan vincular los recursos con delitos de operaciones con recursos de procedencia ilícita.
• Manual de políticas internas (capítulo X). Se exige contar con un manual actualizado que incluya al menos 14 rubros, entre ellos criterios de identificación del cliente, mecanismos de clasificación de riesgo, debida diligencia, funciones del representante encargado de cumplimiento, programas de capacitación y mecanismos de auditoría.
• Mecanismos automatizados (capítulo XIII). Los sistemas deberán ser razonablemente adecuados al volumen y complejidad de las operaciones. Podrán incluir sistemas informáticos especializados, hojas de cálculo o bases de datos, siempre que permitan cumplir funciones de conservación, agrupación, monitoreo, clasificación de riesgo y generación de alertas.
• Reglas de acumulación y fecha que detona cada aviso (artículos 19, 24 bis y 24 bis 1). Se mantiene la acumulación en periodos de hasta seis meses y se vincula expresamente con los mecanismos automatizados. Las RCG precisan la fecha del acto u operación que debe considerarse para cada actividad vulnerable, relevante porque a partir de ella corre el plazo para presentar el aviso. También se aclara que, como regla, deberá presentarse un aviso por cada acto u operación que individualmente o por acumulación alcance el umbral, con criterios particulares para ciertas actividades. Entre otros ejemplos, para tarjetas de servicios o crédito se considera como acto u operación el gasto mensual acumulado; y, para recursos destinados a un mismo desarrollo inmobiliario, podrán incluirse en un solo aviso los actos u operaciones del mes calendario, sujeto a las condiciones previstas en las propias RCG.
• Capacitación y selección de personal (capítulo XII). Se imponen programas obligatorios de capacitación anual con contenidos mínimos y procedimientos de selección de personal que garanticen calidad técnica, experiencia y honorabilidad. Quien imparta la capacitación deberá acreditar al menos cinco años de experiencia en PLD y delitos relacionados.
• Auditoría (capítulo XIV). Se requiere una revisión anual, de enero a diciembre, por auditoría interna o externa. Para sujetos de riesgo bajo o medio podrá realizarse mediante auditoría interna; para riesgo alto deberá intervenir un auditor externo independiente con certificación vigente de la UIF. El dictamen deberá contener hallazgos, acciones correctivas y una evaluación individualizada de cada obligación.
• Fideicomisos y otras figuras jurídicas (capítulo II ter). Se incorpora la obligación de alta y registro para quienes realicen actividades vulnerables a través de fideicomisos u otras figuras jurídicas, incluyendo asociaciones en participación, y se crean anexos y procedimientos específicos para estos supuestos.
• Activos virtuales (artículos 24 bis 2 a 24 bis 6). Se detallan obligaciones específicas para los proveedores de servicios de activos virtuales (VASPs), incluida la información que deberá conservarse sobre el originante, receptor y beneficiario controlador, así como identificadores de cuentas o wallets y otros datos que permitan la trazabilidad de cada operación.
• Notificaciones electrónicas (artículo 6). Se exige consultar el portal al menos una vez cada día hábil. Una vez enviada y recibida una notificación electrónica, el sujeto obligado contará con tres días hábiles para abrir el documento digital; de no hacerlo, la notificación se tendrá por realizada al cuarto día hábil.
• Asociaciones y sociedades sin fines de lucro (artículos 38 bis, 38 bis 1 y 38 bis 2). La UIF deberá aplicar medidas proporcionales basadas en el riesgo de financiamiento al terrorismo a determinadas organizaciones sin fines de lucro. Estas medidas pueden resultar aplicables incluso cuando la organización no sea considerada actividad vulnerable conforme al artículo 17 de la Ley.

Plazos de implementación escalonada

Las RCG reformadas contemplan una entrada en vigor escalonada. Estas son las fechas clave:

¿Qué viene ahora?

Con la publicación de las RCG reformadas se complementa el desarrollo normativo iniciado con la reforma a la LFPIORPI de julio de 2025. Los sujetos obligados cuentan ahora con mayor certeza sobre el alcance y los plazos de las nuevas obligaciones: la entrada en vigor general está prevista para el 30 de noviembre de 2026 y algunas de las obligaciones de mayor impacto operativo deberán implementarse a partir del 1 de marzo de 2027.

La implementación excede una actualización documental. Para muchos sujetos obligados implicará revisar procesos, asignar responsabilidades, adecuar herramientas tecnológicas, capacitar al personal y fortalecer los controles de riesgo. Por ello, es recomendable realizar desde ahora un diagnóstico de brechas que permita definir prioridades, responsables y un calendario de implementación acorde con los plazos regulatorios.

Actuar oportunamente cobra especial relevancia ante las facultades de verificación de la autoridad que se robustecen con referencia cruzada a bases de datos de la autoridad e inteligencia artificial. Además, el cumplimiento espontáneo y previo al inicio de dichas facultades puede ser tomado en cuenta por la autoridad y, en los supuestos previstos por la ley, dar lugar a que esta se abstenga de imponer sanciones. Anticipar la implementación permitirá, por tanto, reducir la exposición regulatoria asociada a una adecuación tardía.