Cumplimiento antilavado sin exclusiones generales ¿quiénes quedan sujetos a las nuevas obligaciones?

El ámbito subjetivo comienza con la actividad, no con el tamaño del contribuyente

La modificación de las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada mediante el Acuerdo 115/2026 el 7 de agosto de 2026, plantea una cuestión inmediata para empresas, profesionistas, asociaciones y demás sujetos potencialmente obligados: determinar quién deberá implementar la nueva arquitectura preventiva y quién puede legítimamente permanecer fuera de ella.

La respuesta exige abandonar una lectura basada exclusivamente en características corporativas y concentrarse en la naturaleza de las operaciones realizadas.

El Artículo 1 de las reglas establece que su objeto consiste en determinar las medidas y procedimientos mínimos que deberán observar quienes lleven a cabo las Actividades Vulnerables previstas en el Artículo 17 de la LFPIORPI; consecuentemente, el punto de conexión con el régimen no es, en términos generales, el nivel de ingresos, el número de trabajadores, la forma jurídica o la dimensión administrativa del sujeto, sino la realización de alguno de los actos identificados legalmente como vulnerables.

El catálogo comprende, entre otras actividades, juegos y sorteos, emisión y comercialización de determinadas tarjetas, otorgamiento de préstamos, desarrollo inmobiliario, comercialización de joyas, obras de arte o vehículos, servicios de blindaje, traslado de valores, ciertos servicios profesionales, recepción de donativos, arrendamiento de inmuebles y operaciones relacionadas con activos virtuales.

Este diseño tiene una consecuencia práctica relevante: el diagnóstico de cumplimiento no debe limitarse al objeto social ni al giro declarado ante las autoridades. Una empresa manufacturera, comercial o de servicios puede desarrollar incidentalmente operaciones de financiamiento, arrendamiento o participación en desarrollos inmobiliarios que deban analizarse autónomamente frente al Artículo 17.

Por ello, el primer ejercicio jurídico y operativo consiste en inventariar las operaciones efectivamente realizadas y confrontarlas, una por una, con las hipótesis legales aplicables.

Los umbrales no constituyen una frontera uniforme

Uno de los errores interpretativos más relevantes sería considerar que todas las obligaciones nacen únicamente al alcanzarse el umbral de presentación de Avisos.

La estructura del Artículo 17 no es homogénea, en determinadas fracciones existe un primer monto asociado con la identificación y un umbral superior para la presentación del Aviso. En otras actividades, la vulnerabilidad deriva de la realización habitual o profesional de la conducta y el monto opera exclusivamente para determinar cuándo surge la obligación de informar.

Esto significa que puede existir una operación sujeta a identificación, integración de expediente, monitoreo, clasificación de riesgo o acumulación sin que todavía se actualice el supuesto de presentación de un Aviso.

La distinción es fundamental porque impide concebir el umbral de reporte como una especie de exención material. Una cosa es determinar si una operación debe ser reportada y otra, jurídicamente distinta, establecer si se encuentra comprendida dentro de la estructura preventiva.

A ello debe añadirse la regla de acumulación aplicable, cuando corresponda, a operaciones celebradas con una misma persona durante periodos de hasta seis meses. En consecuencia, la división de una operación en varios actos no necesariamente impide alcanzar los montos previstos legalmente.

El bajo riesgo atenúa controles, pero no elimina obligaciones

La reforma incorpora de manera más estructurada el Enfoque Basado en Riesgos y exige valorar tanto el riesgo institucional de quien realiza la Actividad Vulnerable como el Grado de Riesgo atribuible a cada Cliente o Usuario.

Podría suponerse que una persona con operaciones sencillas, pocos clientes o una exposición reducida quedaría excluida de algunas obligaciones estructurales. Sin embargo, el modelo adoptado opera de manera diferente.

La clasificación de bajo riesgo puede justificar controles menos intensos, expedientes simplificados o procedimientos proporcionalmente menores; no obstante, para arribar jurídicamente a esa conclusión debe existir previamente una metodología que permita identificar factores de riesgo, valorarlos, ponderarlos y documentar el resultado.

En otras palabras, la simplificación es consecuencia del análisis de riesgo y no un sustituto de éste.

La misma lógica se advierte respecto de la auditoría. Cuando el riesgo institucional sea bajo o medio, la revisión podrá efectuarse mediante auditoría interna o por una persona auditora externa independiente. Cuando el riesgo sea alto, deberá intervenir necesariamente una persona auditora externa. La diferencia reside en la modalidad y en el responsable de la revisión, no en la desaparición de ésta.

También los mecanismos automatizados responden a un criterio de proporcionalidad. Las reglas permiten adaptarlos al volumen, naturaleza, complejidad y riesgo de las operaciones, admitiendo incluso hojas de cálculo, bases de datos u otros instrumentos equivalentes. Esa flexibilidad tecnológica, sin embargo, no releva al sujeto de cumplir las funciones mínimas establecidas en el Artículo 41.

La conclusión es significativa: el ordenamiento acepta que no todas las organizaciones necesitan la misma sofisticación tecnológica, pero exige que todas aquellas comprendidas en el régimen acrediten que su herramienta es adecuada para las funciones que deben desarrollar.

Medidas simplificadas: facilidad procedimental, no exclusión normativa

El Artículo 17 de las reglas permite utilizar medidas simplificadas para la integración de expedientes de clientes considerados de bajo riesgo. Esta posibilidad, sin embargo, requiere que los criterios utilizados para determinar dicha clasificación estén previamente establecidos en el Manual y que se conserve evidencia suficiente para demostrar por qué el cliente recibió ese tratamiento. Adicionalmente, existen expedientes simplificados aplicables a determinadas personas morales, dependencias y entidades previstas en los anexos 7-A y 7 Bis-A.

La simplificación, por tanto, incide en la cantidad o naturaleza de los datos que deben integrarse al expediente, pero no implica que el sujeto obligado deje de contar con Enfoque Basado en Riesgos, Manual de Políticas Internas, mecanismos automatizados, capacitación, conservación documental o auditoría.

Beneficiario Controlador: una excepción estrictamente delimitada

El Artículo 23 Quinquies 2 contiene una exclusión específica respecto de la obligación de recabar los datos de identificación del Beneficiario Controlador cuando el Cliente o Usuario sea una persona moral o fideicomiso que cotice en una bolsa mexicana o en determinados mercados extranjeros reconocidos por la legislación nacional, siempre que proporcione la clave de pizarra o identificador correspondiente.

La excepción comprende también a determinadas personas morales previstas en los anexos 4 Bis, 6 Bis, 7-A y 7 Bis-A, su alcance debe interpretarse con precisión. La dispensa se refiere exclusivamente a la obtención de los datos del Beneficiario Controlador; no elimina la obligación de identificar al Cliente o Usuario, clasificarlo conforme a su riesgo, establecer su Perfil transaccional ni mantener el monitoreo que corresponda.

El Manual puede acotarse, pero no desaparecer

El Artículo 37 Bis 2 permite que determinadas políticas, criterios o procedimientos no sean desarrollados cuando el sujeto haya decidido expresamente que no realizará los actos u operaciones a los cuales se referirían.

Así, una organización podría establecer internamente que no aceptará determinadas formas de pago, operaciones procedentes de ciertas jurisdicciones o relaciones con determinados perfiles de clientes. Mientras esa política se mantenga, no tendría sentido diseñar procedimientos operativos destinados a procesar actos que institucionalmente han sido prohibidos.

La decisión, no obstante, debe quedar expresamente consignada en el Manual. Si posteriormente se pretende realizar la operación excluida, el documento deberá modificarse previamente para incorporar los controles correspondientes.

Por consiguiente, el Artículo 37 Bis 2 no establece una dispensa de contar con el Manual; permite únicamente delimitar su contenido conforme a las operaciones que efectivamente se haya decidido realizar.

Operaciones exceptuadas de Aviso no equivalen a sujetos exceptuados

El Artículo 27 Bis conserva distintos supuestos en los que ciertas operaciones pueden quedar exceptuadas de la presentación del Aviso ordinario. Entre ellas se encuentran determinados préstamos dentro de grupos empresariales o a trabajadores, ciertas operaciones de fideicomisos públicos, algunas primeras ventas de inmuebles financiadas por organismos públicos, operaciones de fabricantes o importadores de vehículos con distribuidores autorizados y determinados arrendamientos intragrupo.

Estas excepciones están condicionadas al cumplimiento de requisitos específicos y, particularmente en diversos supuestos, a que los recursos sean entregados o pagados mediante instituciones del sistema financiero.

Más importante aún, la ausencia de Aviso ordinario no significa ausencia de obligaciones. El Artículo 25 Bis prevé que, cuando durante el mes únicamente se realicen operaciones comprendidas en el Artículo 27 Bis, deberá presentarse un informe señalando dicha circunstancia. Por ello, jurídicamente debe diferenciarse entre estar exceptuado de un Aviso específico y quedar excluido del régimen preventivo. Son categorías distintas.

Grupos empresariales: centralización sin transferencia de responsabilidad

Las reglas permiten que los grupos empresariales centralicen determinadas políticas, compartan información y faciliten que una entidad del grupo integre o conserve expedientes.

La centralización constituye una herramienta de eficiencia administrativa, pero no transforma al grupo en un único sujeto obligado ni elimina las responsabilidades de cada entidad que realiza una Actividad Vulnerable.

Cada empresa deberá estar en condiciones de acreditar que tuvo acceso efectivo a la información correspondiente, que los mecanismos centralizados resultaban aplicables a sus operaciones y que los controles fueron ejecutados en su ámbito particular. En consecuencia, la centralización puede disminuir duplicidades, pero no diluir obligaciones.

No existe una exclusión general para pequeños contribuyentes

Uno de los aspectos más sensibles de la regulación consiste en la ausencia de una dispensa general basada en tamaño, número de empleados, volumen de operaciones, ingresos o capacidad administrativa.

Una persona física o una pequeña empresa que realice Actividades Vulnerables puede encontrarse obligada a desarrollar, en sus elementos esenciales, una arquitectura de cumplimiento semejante a la exigida a organizaciones de mayor dimensión.

Podrá justificar mecanismos más sencillos, metodologías menos sofisticadas o herramientas tecnológicas de menor complejidad cuando su riesgo y volumen lo permitan. Sin embargo, incluso esa menor intensidad deberá encontrarse fundada, documentada y ser coherente con su evaluación de riesgo.

Esta circunstancia evidencia una característica estructural de la reforma: la proporcionalidad opera predominantemente dentro del cumplimiento y no como criterio previo de exclusión.

Donatarias y asociaciones civiles tampoco quedan automáticamente fuera

La naturaleza no lucrativa de una organización tampoco determina, por sí sola, su exclusión. Cuando una asociación o sociedad sin fines de lucro recibe donativos en los términos de la fracción XIII del Artículo 17, puede actualizar una Actividad Vulnerable. El régimen contempla un umbral de identificación de 1,605 UMA y uno de Aviso de 3,210 UMA, considerando igualmente las reglas de acumulación aplicables.

Al ubicarse dentro del supuesto regulado, la organización deberá atender las obligaciones correspondientes, entre ellas las vinculadas con el Enfoque Basado en Riesgos, Manual, clasificación de donantes, Perfil transaccional, mecanismos automatizados, capacitación y auditoría.

La reforma legal de 2025 contempló que la UIF y el SAT implementaran medidas simplificadas para asociaciones y sociedades sin fines de lucro atendiendo a su nivel de riesgo. No obstante, de acuerdo con el material analizado, el Acuerdo 115/2026 todavía no desarrolla un régimen integral que determine con precisión qué organizaciones accederán a tales medidas, cuáles obligaciones podrán simplificarse y bajo qué condiciones.

Simultáneamente, los artículos 38 Bis, 38 Bis 1 y 38 Bis 2 introducen medidas especiales relacionadas con capacitación y monitoreo respecto de donantes o países de alto riesgo, lo que confirma que el tratamiento del sector no lucrativo exige un análisis particular y no admite conclusiones generales de exclusión.

Fechas diferidas: preparación, no dispensa

El régimen transitorio establece una implementación escalonada, el Enfoque Basado en Riesgos deberá encontrarse disponible a partir del 1 de marzo de 2027. En esa fecha comenzarán también a operar diversas disposiciones relacionadas con Grado de Riesgo, conocimiento del cliente, Perfil transaccional y Beneficiario Controlador, así como las actualizaciones correspondientes de los manuales.

Los mecanismos automatizados deberán operar a más tardar el 1 de junio de 2027, mientras que el primer ejercicio obligatorio de auditoría comprenderá el periodo del 1 de enero al 31 de diciembre de 2028. Estos plazos no constituyen excepciones materiales. Únicamente difieren la exigibilidad de determinadas obligaciones.

En términos prácticos, esperar a la fecha de entrada en vigor resultaría incompatible con la naturaleza misma de las obligaciones, pues construir una metodología, identificar factores de riesgo, definir ponderaciones, establecer controles, desarrollar procedimientos, asignar responsabilidades y aprobar documentos requiere una fase previa de diagnóstico e implementación.

Consideraciones finales

Las nuevas reglas adoptan un modelo amplio dentro del universo de quienes realizan Actividades Vulnerables. Existen excepciones, facilidades y tratamientos diferenciados, pero su alcance es esencialmente específico: expedientes simplificados, exclusiones determinadas respecto del Beneficiario Controlador, operaciones omitibles del Manual, actos exceptuados de Aviso, centralización intragrupo y modalidades distintas de auditoría.

Ninguna de estas figuras configura, en términos generales, una exención sustentada exclusivamente en el tamaño del sujeto, su volumen de ingresos, número de clientes, forma jurídica o capacidad administrativa.

La pregunta correcta, por consiguiente, no es si una empresa es demasiado pequeña para quedar sujeta, sino si realiza alguna de las actividades descritas en el Artículo 17, bajo qué condiciones y umbrales, y qué obligaciones concretas derivan de ellas.

La reforma reconoce diferencias de riesgo y permite modular la profundidad de los controles. Sin embargo, exige que la simplificación sea el resultado de una evaluación técnicamente sustentada y no una presunción basada en la dimensión de la organización.

Esa es, probablemente, una de sus consecuencias más importantes para abogados, contadores y responsables de cumplimiento: antes de reducir controles por considerar que una operación, cliente o entidad presenta bajo riesgo, será necesario construir el sistema que permita demostrarlo.

En definitiva, las nuevas reglas distinguen la intensidad con la que debe cumplirse, pero no crean categorías generales que permitan dejar de cumplir. El desafío jurídico y operativo consistirá, precisamente, en diseñar sistemas proporcionales que sean suficientemente robustos para satisfacer la norma y, al mismo tiempo, razonables frente a la naturaleza, complejidad y dimensión real de cada sujeto obligado.