Auditoría de efectividad antilavado para 2027
La auditoría antilavado comenzará en 2028, pero exige preparación desde 2027. Examinamos independencia del auditor, evaluación de riesgos, contenido del dictamen, contingencias administrativas, responsabilidad corporativa y medidas preventivas de cumplimiento.
De la obligación documental a la evaluación de efectividad
La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada el 16 de julio de 2025, transformó las obligaciones de quienes realizan actividades vulnerables. Posteriormente, el Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, desarrolló un sistema de cumplimiento basado en riesgos e incorporó reglas específicas para la auditoría anual.
Hasta ahora, buena parte de la supervisión se concentraba en verificar expedientes de identificación, avisos y documentación obligatoria. El nuevo régimen incorpora una evaluación estructurada de la efectividad de los mecanismos internos de prevención.
La diferencia es sustancial. No bastará con acreditar que existe un manual de políticas, una matriz de riesgos o un sistema de monitoreo. Será necesario demostrar que esos instrumentos se aplican, permiten detectar inconsistencias y producen respuestas oportunas.
El artículo 42 de las Reglas de carácter general establece que quienes realizan actividades vulnerables deben someter sus controles a una revisión anual, comprendida del 1 de enero al 31 de diciembre, para evaluar y dictaminar el cumplimiento de la ley, su reglamento y las propias reglas. Conforme al artículo octavo transitorio del Acuerdo 115/2026, el primer periodo obligatorio será el ejercicio 2028.
El calendario que determina la preparación
La primera auditoría comprenderá las operaciones realizadas entre el 1 de enero y el 31 de diciembre de 2028. De acuerdo con el artículo 50 de las Reglas, la revisión y emisión del dictamen deberán realizarse durante los primeros tres meses posteriores al cierre del ejercicio.
En consecuencia, el auditor deberá entregar el primer dictamen al sujeto obligado a más tardar el último día hábil de marzo de 2029. Esta obligación de entrega al auditado no debe confundirse con una presentación automática del documento ante el SAT. Sin embargo, esperar hasta 2028 para preparar el cumplimiento sería un error.
El régimen transitorio exige contar, desde el 1 de marzo de 2027, con la evaluación basada en riesgos y el manual de políticas internas en los supuestos correspondientes. También establece que, desde esa fecha, deberán observarse las nuevas reglas de clasificación y conocimiento del cliente y de identificación del beneficiario controlador.
Los mecanismos automatizados deberán encontrarse implementados a más tardar el 1 de junio de 2027, mientras que el primer periodo anual de capacitación comprenderá todo ese ejercicio. Por tanto, 2027 será el año para desarrollar, probar y corregir los procedimientos que posteriormente serán examinados.
La nueva auditoría antilavado no calificará únicamente la existencia de políticas y manuales, sino la eficacia demostrable de los controles utilizados para prevenir operaciones ilícitas
Auditoría interna o externa: una decisión determinada por el riesgo
Los artículos 44 y 45 de las Reglas establecen quién puede practicar la revisión. Cuando el riesgo del sujeto obligado sea bajo o medio, el dictamen podrá ser emitido por un área de auditoría interna o de control interno. Sus integrantes deberán ser independientes del representante encargado de cumplimiento, conocer los procedimientos de la organización y acreditar la capacitación anual exigida.
En cambio, cuando el riesgo sea alto, o cuando el sujeto obligado así lo decida, la auditoría deberá realizarla una persona auditora externa independiente. El artículo 45 exige que esta última cuente con título y cédula profesional en disciplinas como derecho, contaduría, finanzas, administración, informática o áreas afines; experiencia mínima de tres años en prevención de lavado de dinero y certificación vigente otorgada por la Unidad de Inteligencia Financiera (UIF).
También establece restricciones relacionadas con antecedentes penales, conflictos de interés y desempeño previo como representante encargado de cumplimiento. La clasificación de riesgos adquiere así una consecuencia adicional: determina el modelo de auditoría aplicable. Una evaluación artificialmente favorable para evitar la contratación de un auditor externo podría comprometer la credibilidad de todo el sistema de cumplimiento.
Qué deberá examinar el auditor
El artículo 46 exige evaluar la efectividad del cumplimiento de las obligaciones aplicables. El artículo 47 desarrolla la metodología y el contenido mínimo del dictamen. La revisión deberá partir del conocimiento del sujeto obligado, sus actividades, estructura operativa y exposición al riesgo. También deberá identificar las obligaciones examinadas, el volumen de operaciones, los criterios de muestreo y los procedimientos de auditoría utilizados.
La evaluación deberá comprender, según corresponda, la identificación de clientes, el conocimiento de sus operaciones, la determinación del beneficiario controlador, la presentación de avisos, la capacitación y el funcionamiento de los mecanismos automatizados. Especial importancia tendrá la evidencia objetiva.
Un sistema que genera alertas, pero carece de registros sobre su análisis y resolución, difícilmente permitirá demostrar su efectividad. Lo mismo ocurrirá con una metodología de riesgos que no se actualiza o que resulta incompatible con las características reales de los clientes. La auditoría debe examinar tanto el diseño de los controles como su aplicación efectiva.
Las cinco calificaciones y la cuantificación de contingencias
El artículo 48 establece cinco resultados posibles para cada obligación examinada: cumple, cumple mayoritariamente, cumple parcialmente, no cumple y no aplica. Estas categorías permiten diferenciar entre controles efectivos, deficiencias documentales y verdaderos incumplimientos. Por su parte, el artículo 49 exige que el dictamen incorpore hallazgos, acciones correctivas, recomendaciones, responsables y plazos de ejecución.
Una de sus novedades más relevantes consiste en la obligación de incluir una proyección económica de las multas que podrían corresponder si las deficiencias no se atienden. Esta estimación no equivale a una sanción impuesta por la autoridad. Es una valoración preventiva de exposición económica, cuya determinación definitiva dependerá de los supuestos legales y de los procedimientos administrativos correspondientes.
No obstante, convierte al dictamen en un instrumento especialmente sensible: identifica incumplimientos y permite dimensionar sus posibles consecuencias patrimoniales. El artículo 51 ordena conservar el dictamen y la documentación utilizada para justificar sus resultados durante un plazo mínimo de cinco años, además de ponerlos a disposición del SAT cuando sean requeridos.
El riesgo administrativo y la corrección espontánea
La LFPIORPI contempla sanciones económicas importantes por incumplimientos relacionados con identificación, avisos y otras obligaciones legales. Sin embargo, no existe una multa única aplicable a cualquier deficiencia detectada por el auditor. La cuantía depende de la conducta, la disposición infringida y las circunstancias legalmente relevantes.
El artículo 50 de las Reglas también contempla la posibilidad de subsanar espontáneamente determinados incumplimientos, en los casos aplicables. Esta previsión debe interpretarse conjuntamente con el régimen sancionador de la LFPIORPI, sin presumir que cualquier corrección posterior elimina automáticamente una infracción.
La recomendación es establecer un procedimiento formal de remediación que documente las decisiones adoptadas, los recursos asignados y la evidencia de corrección. Un hallazgo atendido oportunamente puede demostrar capacidad de respuesta. Uno reiterado durante varios ejercicios puede evidenciar una deficiencia estructural de supervisión.
Responsabilidad penal: conocimiento no equivale automáticamente a culpabilidad
El dictamen también puede adquirir relevancia en investigaciones relacionadas con operaciones con recursos de procedencia ilícita. El artículo 400 Bis del Código Penal Federal regula conductas vinculadas con recursos de procedencia ilícita, sujetas a sus elementos típicos y requisitos de conocimiento.
Por su parte, el artículo 421 del Código Nacional de Procedimientos Penales contempla presupuestos específicos para atribuir responsabilidad penal a personas jurídicas.
No obstante, debe evitarse una interpretación automática: un dictamen con observaciones no demuestra por sí mismo la comisión de un delito ni la responsabilidad penal de administradores o consejeros.
La imputación requiere acreditar los elementos de la conducta penalmente relevante y los presupuestos legales de responsabilidad. La importancia del dictamen reside en su posible valor probatorio dentro de un conjunto más amplio de circunstancias.
Si una organización conoce deficiencias graves, omite corregirlas y posteriormente se producen operaciones ilícitas, esos antecedentes podrían ser examinados por las autoridades. A la inversa, la existencia de controles efectivos y de un programa de corrección documentado puede constituir evidencia relevante de diligencia, sin garantizar por sí misma la exclusión de responsabilidad.
El dictamen puede convertirse en evidencia de diligencia empresarial o en un registro documentado de deficiencias conocidas que la organización decidió no corregir
El consejo de administración como destinatario del dictamen
El segundo párrafo del artículo 42 dispone que los resultados se presenten al consejo de administración, administrador único, dirección general u órgano equivalente, según corresponda, o directamente a la persona física que realiza la actividad vulnerable. La obligación confirma que el cumplimiento antilavado no debe permanecer exclusivamente bajo la responsabilidad operativa del encargado de cumplimiento.
El órgano de administración debe conocer las deficiencias relevantes, evaluar los recursos necesarios para corregirlas y dar seguimiento a los compromisos asumidos. No significa que cada consejero responda automáticamente por toda infracción detectada.
La eventual responsabilidad personal dependerá de sus deberes jurídicos, atribuciones, conocimiento e intervención. Sin embargo, recibir el dictamen y no establecer mecanismos razonables de seguimiento puede generar cuestionamientos sobre la calidad de la supervisión corporativa. La presentación de resultados debe quedar documentada mediante acuerdos, responsables y fechas de cumplimiento.
La preparación durante 2027
Las organizaciones deberían aprovechar 2027 para construir una base probatoria de cumplimiento. Durante el primer semestre convendrá concluir la metodología de riesgos, actualizar el manual, revisar expedientes y poner en funcionamiento los mecanismos automatizados dentro de los plazos establecidos.
Durante el segundo semestre será recomendable realizar una revisión diagnóstica independiente que identifique deficiencias antes del primer ejercicio auditado.
Esta revisión anticipada no sustituirá el dictamen de 2028, pero permitirá corregir procesos y generar evidencia de su funcionamiento. También deberá definirse oportunamente quién practicará la auditoría, particularmente cuando el nivel de riesgo exija un auditor externo certificado.
La confidencialidad de los trabajos preparatorios deberá administrarse conforme a las normas aplicables. La intervención de abogados no convierte automáticamente todo documento de cumplimiento en información protegida frente a requerimientos legales.
Conclusión: el cumplimiento deberá poder demostrarse
La primera auditoría antilavado representa un cambio importante para quienes realizan actividades vulnerables. A partir de 2028, la efectividad de los controles internos será objeto de una evaluación formal cuyos resultados deberán presentarse a la administración y conservarse para su eventual revisión por la autoridad.
El dictamen no sólo identificará deficiencias. También exigirá medidas correctivas y una estimación de las contingencias económicas asociadas. Por ello, la preparación debe comenzar durante 2027, cuando entrarán en operación los componentes esenciales del nuevo sistema.
La verdadera utilidad de la auditoría no consistirá en obtener una calificación favorable, sino en demostrar que la organización conoce sus riesgos, aplica controles eficaces y corrige oportunamente las deficiencias que identifica.
Sobre el autor
Mtro. Adrián Alfonso Paredes Santana
Licenciado en Contaduría Pública y Abogado por la Universidad de Guadalajara, Maestro en Impuestos por Instituto de Especialización para Ejecutivos (IEE), Socio de las firmas PVE Consultores y ASMX Solutions
Compartir este análisis
Texto listo con título, sinopsis y liga. LinkedIn no muestra la sinopsis por sí solo: pégala en el post.
Sigue leyendo
