Auditoría anual de Actividades Vulnerables

Dictamen antilavado: quién deberá auditar y desde cuándo

La reforma al régimen mexicano de prevención de operaciones con recursos de procedencia ilícita produjo un cambio cualitativo en las obligaciones de quienes realizan Actividades Vulnerables. A la identificación de clientes, integración de expedientes, presentación de Avisos y conservación documental se incorpora ahora un mecanismo periódico destinado a responder una pregunta distinta: ¿el sistema de cumplimiento funciona efectivamente?

La obligación tiene fundamento en el artículo 18, fracción XI, de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), adicionada mediante la reforma publicada el 16 de julio de 2025. La disposición exige contar con revisión de auditoría interna o externa, dependiendo del nivel de riesgo, para evaluar y dictaminar en un año calendario la efectividad del cumplimiento.

Su desarrollo operativo llegó con el Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, mediante el cual se incorporó el Capítulo XIV, artículos 42 a 51, de las Reglas de carácter general. El Acuerdo entrará en vigor el 30 de noviembre de 2026, aunque diversas obligaciones tienen calendarios transitorios propios.

El material que sirve de base para este análisis identifica precisamente este cambio de paradigma: la revisión anual deja de centrarse exclusivamente en documentos para evaluar diseño, ejecución y evidencia del sistema preventivo.

¿Quién está obligado a someterse a auditoría?

El artículo 42 de las Reglas dispone que quienes realicen Actividades Vulnerables deberán mantener medidas de control que incluyan la revisión de un auditor, ya sea interno o externo independiente, para evaluar anualmente la efectividad del cumplimiento de la Ley, su Reglamento y las propias Reglas.  

No existe en este capítulo una exclusión general basada en ingresos, número de empleados, dimensión empresarial o cantidad de Avisos presentados. Consecuentemente, no debe confundirse el umbral para presentar determinado Aviso con la existencia misma de las obligaciones preventivas asociadas a la realización de una Actividad Vulnerable.

La auditoría tampoco está reservada a sociedades mercantiles, la regulación contempla expresamente el supuesto de personas físicas: cuando éste sea el sujeto obligado, el resultado del dictamen deberá entregársele directamente. Tratándose de estructuras corporativas, los resultados deberán presentarse al consejo de administración, administrador único, dirección general u órgano equivalente.

Riesgo bajo o medio: auditoría interna posible

La elección del auditor no es completamente discrecional, cuando el riesgo del sujeto obligado haya sido evaluado como bajo o medio, el artículo 44 permite que el dictamen sea emitido por un área de auditoría o control interno. Esa área debe guardar independencia respecto de la persona Representante Encargada del Cumplimiento, conocer los procesos internos relacionados con la Actividad Vulnerable y satisfacer el requisito de capacitación previsto en las propias Reglas.  

La independencia tiene una finalidad evidente: impedir que quien diseña, implementa y ejecuta cotidianamente los controles sea al mismo tiempo quien dictamine objetivamente su propia efectividad.

Esto convierte a la evaluación institucional con Enfoque Basado en Riesgos en una pieza con consecuencias económicas. Una clasificación baja o media permite conservar la revisión dentro de la organización, siempre que exista una función interna independiente y técnicamente preparada.

El nuevo dictamen no preguntará solamente si existe un expediente, manual o procedimiento: deberá determinar si los controles funcionan y si existe evidencia objetiva capaz de demostrarlo

Riesgo alto: auditor externo independiente

Cuando el riesgo institucional sea alto, la auditoría externa deja de ser opcional. También puede recurrirse voluntariamente a ella cuando el sujeto tenga riesgo bajo o medio.

El artículo 45 exige que la persona auditora externa posea título y cédula profesional en derecho, contaduría, finanzas, administración de empresas, informática o áreas afines; tenga cuando menos tres años de experiencia en prevención y detección de operaciones posiblemente vinculadas con recursos de procedencia ilícita; y cuente, al momento de elaborar y firmar el dictamen, con certificación vigente otorgada por la UIF.

Además, no debe haber sido sentenciada por delitos patrimoniales ni haber prestado, durante el periodo auditado, servicios que generen conflicto de interés. Tampoco puede haber aceptado el cargo de Representante Encargada del Cumplimiento del auditado durante ese periodo, y la propia regla establece una incompatibilidad respecto de los dos años posteriores. La independencia deberá mantenerse durante todo el desarrollo de la auditoría hasta la emisión del dictamen. Por tanto, no cualquier auditor financiero, abogado o contador podrá emitir válidamente el dictamen externo.

La auditoría será de efectividad, no de existencia

El artículo 46 ordena evaluar la efectividad del cumplimiento de todas las obligaciones aplicables previstas en la Ley, Reglamento y Reglas. Su finalidad no consiste únicamente en descubrir faltantes, sino también en proporcionar elementos para mejorar procesos, mecanismos y herramientas preventivas. Esto produce una diferencia considerable respecto de las revisiones tradicionales.

Un sujeto puede contar con un Manual de Políticas Internas impecablemente redactado y, sin embargo, obtener un resultado desfavorable si no demuestra que el procedimiento realmente se ejecutó. Podrá tener un mecanismo para identificar al Beneficiario Controlador, pero deberá acreditar su aplicación; una metodología de riesgo, pero será necesario probar que produjo clasificaciones; un sistema de alertas, pero también que las alertas fueron atendidas. La evidencia comienza a ocupar el centro del modelo.

Metodología y contenido del dictamen

La auditoría tampoco puede realizarse mediante una lista genérica idéntica para todos los sujetos. El artículo 47 exige una metodología que permita conocer al auditado y desarrollar un programa de trabajo de acuerdo con sus características. Debe existir, como mínimo, un cuestionario inicial y un análisis de riesgo realizado por el auditor para identificar los aspectos que deben evaluarse.  

El dictamen deberá documentar su objeto, periodo, obligaciones examinadas, operaciones y, cuando corresponda, sucursales comprendidas; metodología; procedimientos; hallazgos; resultados individualizados y acciones correctivas.

La lógica es particularmente clara cuando existe muestreo: no basta seleccionar algunos expedientes sin explicación. La muestra debe guardar relación con el universo y con los riesgos que justificaron el alcance de la revisión.

Cinco resultados posibles

Cada obligación examinada deberá recibir uno de cinco resultados regulatorios: Cumple, Cumple mayoritariamente, Cumple parcialmente, No cumple o No aplica.

La diferencia entre las categorías introduce un concepto particularmente relevante: la evidencia objetiva.

“Cumple parcialmente” puede resultar precisamente cuando la eficacia no logra demostrarse por falta de elementos objetivos que acrediten la ejecución del control. En cambio, “No cumple” corresponde a situaciones en las que no se satisfacen los elementos normativos o se actualiza un incumplimiento susceptible de sanción.  

La clasificación “No aplica” tampoco constituye una dispensa genérica. El auditor debe verificar que la obligación realmente no sea exigible y que esa conclusión sea consistente con el análisis de riesgos.

Hallazgos con dimensión económica

El dictamen tendrá una característica que merece especial atención de administradores y consejos. El artículo 49 exige que cada hallazgo se acompañe de acciones correctivas, recomendaciones, plazos y responsables para su implementación. Adicionalmente, debe incorporarse una proyección económica de las multas que podrían corresponder si las deficiencias no son atendidas.  

No significa que el auditor esté imponiendo una sanción. La potestad sancionadora continúa correspondiendo a la autoridad competente. Sin embargo, la estimación transforma al dictamen en un documento relevante también para efectos de administración de riesgos y gobierno corporativo.

A partir del segundo ejercicio, además, deberá incorporarse el seguimiento de las observaciones y acciones correctivas del periodo anterior.

El primer ejercicio formalmente auditado será 2028, pero la infraestructura documental, tecnológica y de riesgos deberá construirse antes: una auditoría posterior no puede fabricar evidencia que nunca se generó

El primer periodo será 2028

Éste es uno de los aspectos en los que no debe existir confusión. El artículo Octavo Transitorio del Acuerdo 115/2026 establece expresamente que el primer periodo de revisión de auditoría comenzará el 1 de enero de 2028 y concluirá el 31 de diciembre de 2028.

Conforme al artículo 50, la revisión y emisión del dictamen deben efectuarse dentro de los primeros tres meses siguientes al cierre del periodo, entregándose al auditado a más tardar el último día hábil de marzo. En consecuencia, el primer dictamen ordinario deberá estar concluido en marzo de 2029.  

Para quienes se encuentren en su primer año realizando una Actividad Vulnerable existe una regla especial: el periodo comprenderá desde el inicio de operaciones y hasta el 31 de diciembre del año siguiente.

No se presenta automáticamente cada año al SAT

El régimen tampoco establece, por ahora, el envío anual automático del dictamen a la autoridad. El artículo 51 exige conservar el dictamen y la información y documentación utilizadas por el auditor para justificar sus conclusiones durante al menos cinco años, contados desde su entrega, y poner todo ello a disposición del SAT cuando sea requerido.  

Este detalle no disminuye su importancia. Por el contrario, significa que cuando la autoridad lo solicite encontrará un documento previamente elaborado que habrá identificado fortalezas, incumplimientos, acciones correctivas y seguimiento.

Conclusión

Aunque el primer ejercicio obligatorio será 2028, esperar hasta entonces para preparar la auditoría sería un error. Durante 2027 entrarán en operación piezas esenciales del nuevo modelo: evaluación de riesgos, nuevas políticas de conocimiento del cliente, capacitación y mecanismos automatizados, conforme al calendario transitorio del propio Acuerdo.  

El periodo previo debe utilizarse para responder anticipadamente preguntas que después formulará el auditor: ¿existe evidencia de las clasificaciones de riesgo?, ¿puede demostrarse quién autorizó una excepción?, ¿se conservaron las alertas?, ¿es posible reconstruir la acumulación de operaciones?, ¿las políticas coinciden con la operación real?

La transformación más importante, en consecuencia, no será obtener un dictamen firmado. Será pasar de un cumplimiento declarado a un cumplimiento demostrable.

Cuando comience el 1 de enero de 2028, cada operación, alerta, expediente, decisión y medida correctiva podrá convertirse en evidencia del primer dictamen. Lo que no haya sido diseñado, ejecutado y documentado oportunamente difícilmente podrá reconstruirse en marzo de 2029.