Donatarias ante las nuevas reglas antilavado

Un nuevo modelo de cumplimiento para el sector filantrópico

La publicación del Acuerdo 115/2026, el 7 de agosto de 2026, modificó ampliamente las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) y transformó el modelo de cumplimiento aplicable a quienes realizan Actividades Vulnerables. El Acuerdo entrará en vigor el 30 de noviembre de 2026, con diversas obligaciones cuya exigibilidad se difiere a 2027 y 2028.

Para las asociaciones y sociedades sin fines de lucro, el cambio merece una atención particular. La regulación no solamente fortalece las obligaciones aplicables cuando la recepción de donativos constituye una Actividad Vulnerable, sino que incorpora medidas preventivas específicas para determinadas organizaciones no lucrativas, incluso con independencia de que alcancen los umbrales del artículo 17 de la LFPIORPI, de ahí que resulte indispensable distinguir dos regímenes.

Ser donataria autorizada no significa automáticamente realizar una Actividad Vulnerable

La autorización para recibir donativos deducibles pertenece al ámbito fiscal. La condición de sujeto obligado bajo la LFPIORPI depende, en cambio, de realizar alguno de los actos u operaciones previstos por su artículo 17. En materia de donativos, la fracción XIII considera Actividad Vulnerable su recepción por asociaciones y sociedades sin fines de lucro cuando el valor alcance 1,605 veces la UMA diaria. El Aviso deberá presentarse cuando la donación alcance 3,210 UMA.

Para 2026, la UMA diaria es de $117.31. En consecuencia, los montos equivalen a:

Supuesto

UMA

Importe 2026

Umbral de identificación como Actividad Vulnerable

1,605 $188,282.55

Umbral para presentación de Aviso

3,210 $376,565.10

El valor de la UMA deberá actualizarse anualmente. Además, la regulación exige acumular determinados actos u operaciones realizados con una misma persona durante periodos de hasta seis meses. Esto impide analizar cada aportación de manera completamente aislada.

Así, tres donativos de $130,000 realizados por una misma persona dentro del periodo de acumulación sumarían $390,000. Aunque ninguno alcanzara individualmente el umbral de Aviso, su tratamiento conjunto podría actualizar la obligación correspondiente. Para una donataria, esto exige algo aparentemente sencillo pero operacionalmente complejo: identificar inequívocamente al mismo donante aun cuando utilice campañas, cuentas bancarias, convenios, plataformas o canales distintos.

El donante deberá ser conocido como Cliente o Usuario

Cuando el donativo se ubique dentro de la Actividad Vulnerable, la persona aportante quedará comprendida en el concepto regulatorio de Cliente o Usuario. Las nuevas Reglas definen esta figura de manera amplia respecto de quien celebra actos u operaciones con el sujeto obligado.  La consecuencia es importante: ya no bastará conservar el CFDI, la transferencia bancaria y el convenio de donación.

Deberá integrarse y mantenerse un expediente que permita identificar al donante, verificar su información y relacionarlo con las operaciones efectuadas.

Cuando el aportante sea una persona moral, fideicomiso u otra estructura jurídica, cobrará especial importancia la identificación del Beneficiario Controlador. No debe confundirse esta figura con las personas beneficiarias de los programas asistenciales de la asociación. El Beneficiario Controlador es, en términos generales, la persona física que finalmente obtiene el beneficio o ejerce el control efectivo de la estructura que participa en la operación.

De conocer la identidad a conocer el comportamiento

La reforma cambia sustancialmente la profundidad del análisis, a partir de los actos u operaciones realizados desde el 1 de marzo de 2027, quienes realicen Actividades Vulnerables deberán aplicar las nuevas disposiciones relativas a clasificación del Grado de Riesgo, conocimiento del Cliente o Usuario y Beneficiario Controlador.

Los clientes deberán clasificarse, como mínimo, en grados de riesgo bajo, medio y alto, atendiendo a factores como actividad, nacionalidad, residencia, fuentes de ingreso, naturaleza de la relación y características de sus operaciones. La evaluación deberá revisarse, por regla general, al menos cada seis meses.  

También deberá construirse un Perfil transaccional, compuesto por elementos como monto, frecuencia, zona geográfica, origen y destino de recursos y actividad económica.

Aplicado a una donataria, esto significa responder preguntas nuevas: ¿cuánto suele aportar esa persona?, ¿con qué frecuencia?, ¿desde qué cuentas?, ¿en qué países se originan los recursos?, ¿sus aportaciones son congruentes con la información disponible?, ¿se encuentra modificando súbitamente su patrón de comportamiento?

El objetivo no consiste en presumir irregularidades, sino en detectar desviaciones suficientemente relevantes para justificar una revisión.

También deberá evaluarse el riesgo de la propia organización

El nuevo cumplimiento no se limita a clasificar donantes. Cada sujeto obligado deberá elaborar su propia evaluación mediante un Enfoque Basado en Riesgos.

En una asociación sin fines de lucro, el análisis debería considerar, entre otros elementos, la naturaleza de los donativos, perfiles de aportantes, canales de captación, jurisdicciones involucradas, formas de pago y mecanismos mediante los cuales se aplican los recursos.

Esta última dimensión merece atención, el riesgo de una organización no lucrativa no necesariamente termina al comprobar el origen lícito del dinero. También debe analizarse el destino de los fondos, particularmente cuando existen operaciones transfronterizas, intermediarios, beneficiarios localizados en jurisdicciones de riesgo o instrucciones específicas para canalizar recursos a terceros.

La trazabilidad debe, por tanto, recorrer el ciclo completo: donante, origen, recepción, aplicación y beneficiario final del recurso.

Manual, sistemas y alertas

Las nuevas obligaciones deberán traducirse en procedimientos internos, el Manual de Políticas Internas tendrá que explicar quién identifica al donante, quién valida documentación, cómo se determina el riesgo, cómo se investigan alertas, cómo se acumulan operaciones y qué autoridad interna puede aprobar relaciones de riesgo elevado.

Asimismo, los mecanismos automatizados deberán operar a más tardar el 1 de junio de 2027. El artículo 41 exige que permitan consolidar operaciones, monitorear desviaciones del Perfil transaccional, ejecutar el modelo de riesgo, conservar históricos y generar alertas, entre otras funciones.

No necesariamente se requiere adquirir una plataforma costosa. Las propias Reglas admiten herramientas que pueden ir desde sistemas especializados hasta hojas de cálculo o bases de datos, siempre que cumplan las funciones requeridas y sean verificables ante la autoridad.

Para numerosas donatarias, el verdadero reto será integrar información actualmente dispersa entre CRM, sistemas contables, CFDI, campañas de captación, contratos y estados de cuenta. Una transferencia recibida de una persona distinta al donante registrado deberá poder detectarse, explicarse y documentarse.

Capacitación y auditoría también se vuelven obligatorias

El primer periodo anual de capacitación comprenderá del 1 de enero al 31 de diciembre de 2027. Las personas capacitadoras deberán acreditar, además, al menos cinco años de experiencia en prevención de lavado de dinero y materias relacionadas; la evidencia de capacitación deberá conservarse durante diez años.  

La auditoría comenzará con el ejercicio 2028. Cuando el riesgo institucional sea bajo o medio, podrá intervenir auditoría interna bajo las condiciones reglamentarias; cuando el riesgo sea alto, deberá participar una persona auditora externa independiente que cumpla los requisitos específicos de las Reglas. El dictamen del ejercicio deberá entregarse a más tardar el último día hábil de marzo siguiente.

Un segundo régimen incluso para organizaciones que no alcancen los umbrales

Aquí aparece una de las novedades más trascendentes, los artículos 38 Bis, 38 Bis 1 y 38 Bis 2 ordenan a la UIF aplicar medidas proporcionales y basadas en riesgo a determinadas asociaciones y sociedades sin fines de lucro cuyo fin preponderante sea recibir donativos o destinar fondos a finalidades caritativas, religiosas, culturales, educativas, sociales o filantrópicas.

Y expresamente establecen que estas organizaciones deberán cumplir las medidas que se emitan con independencia de que sean consideradas Actividad Vulnerable conforme al artículo 17.  

Las medidas deberán comprender, como mínimo, capacitación y difusión, así como monitoreo de operaciones relacionadas con donantes o países considerados de alto riesgo respecto del delito previsto en el artículo 139 Quáter del Código Penal Federal, es decir, el régimen preventivo relacionado con el financiamiento al terrorismo.  

Por ello, no debe afirmarse que toda pequeña donataria quedará automáticamente sometida al conjunto completo de obligaciones aplicables a quienes superan los umbrales. Existe un segundo nivel regulatorio cuya instrumentación depende de las medidas específicas que emita la UIF.

Medidas simplificadas: una pieza todavía decisiva

El régimen transitorio de la reforma legal de 2025 obliga a la UIF, en coordinación con el SAT, a implementar durante los primeros seis meses siguientes a la entrada en vigor de las nuevas Reglas un programa de capacitación y orientación para las asociaciones y sociedades sin fines de lucro, así como medidas simplificadas de cumplimiento conforme a su nivel de riesgo.

La finalidad expresamente prevista es armonizar el cumplimiento antilavado con la protección del espacio cívico y el derecho a la libertad de asociación.  

Estas medidas serán especialmente importantes para las organizaciones pequeñas. Una fundación internacional con operaciones transfronterizas no presenta el mismo perfil que una asociación comunitaria financiada por aportantes locales. El principio de proporcionalidad exige reconocer esa diferencia.

La prioridad: conocer hoy cómo circula cada peso

Las donatarias deberían aprovechar el periodo previo a la exigibilidad plena para reconstruir su universo de aportaciones, identificar operaciones acumulables y revisar si su información permite conocer con precisión al donante y al origen de los fondos. También deberán conciliar CRM, contabilidad, CFDI, contratos, plataformas de procuración y estados de cuenta.

La reforma desplaza así el cumplimiento desde una lógica predominantemente documental hacia una de conocimiento, riesgo y trazabilidad. La condición de donataria autorizada ya no puede administrarse exclusivamente desde la perspectiva fiscal cuando simultáneamente se actualizan obligaciones de la LFPIORPI.

El verdadero desafío será conectar en un mismo sistema jurídico y operativo al donante, Beneficiario Controlador, origen de recursos, riesgo, Perfil transaccional, destino de los fondos y evidencia de cumplimiento. Esa trazabilidad no sólo permitirá presentar Avisos correctamente. Será, probablemente, la principal defensa de la organización cuando la autoridad pregunte qué conocía sobre sus donantes, qué riesgos detectó y qué hizo para mitigarlos.