El nuevo Manual de Políticas Internas en cumplimiento antilavado
Examina la transformación del Manual de Políticas Internas antilavado, sus contenidos mínimos, metodología de riesgos, debida diligencia, monitoreo, grupos empresariales, facultades supervisoras y calendario escalonado de cumplimiento obligatorio empresarial.
El nuevo Manual de Políticas Internas: contenido mínimo, enfoque basado en riesgo y debida diligencia
La reforma del régimen mexicano de Prevención de Lavado de Dinero (PLD) modifica sustancialmente la naturaleza jurídica y operativa del documento que tradicionalmente se conocía como manual de cumplimiento. La Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), reformada el 16 de julio de 2025, incorporó al artículo 18 nuevas obligaciones que reconfiguran el modelo aplicable a quienes realizan Actividades Vulnerables: evaluación bajo un enfoque basado en Riesgos, Manual de Políticas Internas, capacitación anual, mecanismos automatizados y auditoría.
Posteriormente, la reforma al Reglamento de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (RLFPIORPI), publicada el 27 de marzo de 2026, desarrolló diversos elementos complementarios, incluidos mecanismos de supervisión, auditoría y el régimen aplicable a Personas Políticamente Expuestas. Finalmente, el Acuerdo 115/2026 de la Secretaría de Hacienda y Crédito Público (SHCP) reformó las Reglas de Carácter General a que se refiere la LFPIORPI (RCG) y creó expresamente el Capítulo X, denominado “Del Manual de Políticas Internas”. El Acuerdo fue publicado el 7 de agosto de 2026 y su entrada en vigor general está prevista para el 30 de noviembre de 2026, sin perjuicio de sus disposiciones transitorias.
Esta secuencia normativa permite apreciar que el Manual de Políticas Internas (MPI) ya no debe concebirse como un documento estático destinado exclusivamente a acreditar formalmente la existencia de procedimientos. Su función es mucho más amplia: convertirse en la expresión documental del sistema interno mediante el cual el sujeto obligado identifica sus riesgos, clasifica a sus clientes, determina la intensidad de su debida diligencia, monitorea comportamientos, detecta desviaciones y establece responsabilidades.
El fundamento legal del cambio
El artículo 18, fracción VII, de la LFPIORPI obliga a realizar una evaluación bajo un Enfoque Basado en Riesgos (EBR) que permita identificar, analizar, entender y mitigar los Riesgos propios y los correspondientes a Clientes o Usuarias. La fracción VIII exige elaborar y observar un MPI con los criterios, medidas y procedimientos necesarios para cumplir la LFPIORPI, incluyendo aquellos dirigidos al tratamiento de Personas Políticamente Expuestas (PEP).
A estas obligaciones se agregan la capacitación anual prevista en la fracción IX, los mecanismos automatizados de monitoreo permanente establecidos en la fracción X y el régimen de auditoría de la fracción XI. La propia LFPIORPI dispone que los mecanismos automatizados deben permitir identificar operaciones que se aparten del perfil transaccional, efectuar acumulaciones y realizar seguimiento intensificado de clientes PEP o de alto Riesgo.
Por consiguiente, el MPI debe reflejar un sistema integrado. No resultará suficiente incluir capítulos independientes sobre identificación, Avisos, capacitación o conservación de expedientes si éstos no guardan congruencia con la metodología de Riesgo.
El plazo de noventa días
El artículo 37 de las RCG dispone que quienes realicen Actividades Vulnerables deberán contar con su MPI dentro de los noventa días naturales posteriores al alta y registro. El documento deberá desarrollar las políticas de identificación y conocimiento de Clientes o Usuarias, procedimientos internos, mecanismos para gestionar Riesgos y, además, encontrarse disponible para la Unidad de Inteligencia Financiera (UIF) o el Servicio de Administración Tributaria (SAT) cuando cualquiera de dichas autoridades lo requiera.
La norma incorpora una exigencia adicional de gran trascendencia: el MPI —o los documentos a los cuales expresamente remita— debe contener el diseño de la metodología del EBR y los procedimientos y criterios utilizados para abrir, limitar o terminar relaciones comerciales, los cuales deberán ser congruentes con dicha metodología.
Esto impide, por ejemplo, que la política comercial autorice automáticamente a cualquier Cliente mientras la matriz de Riesgo identifica características que exigirían medidas reforzadas o incluso una reconsideración de la relación.
Los catorce contenidos mínimos
El artículo 37 Bis de las RCG establece catorce componentes que no son recomendaciones, sino el piso normativo del MPI:
Criterios para identificar y conocer a Clientes o Usuarias.
Mecanismos para clasificarlos por Grado de Riesgo.
Medidas de debida diligencia diferenciadas según ese Riesgo.
Procedimientos de identificación y seguimiento reforzado de PEP.
Mecanismos para detectar desviaciones respecto del perfil transaccional.
Procedimientos para presentar Avisos e Informes en tiempo y forma.
Mecanismos de conservación de información y documentación.
Procedimientos para acumular actos u operaciones y determinar cuándo alcanzan los umbrales de Aviso.
Mecanismos para identificar personas incluidas en listas emitidas por autoridades nacionales u organismos internacionales.
Funciones y responsabilidades de la persona Representante Encargada de Cumplimiento.
Programas de capacitación.
Mecanismos de control interno, supervisión y auditoría.
Medidas para garantizar la confidencialidad.
Procedimientos para actualizar el propio MPI.
El verdadero cambio no consiste únicamente en el número de apartados. La innovación radica en que varios de ellos deben alimentarse mutuamente.
La identificación del Cliente produce información. Esa información alimenta el modelo de clasificación de Riesgo. El Grado de Riesgo determina la intensidad de la debida diligencia. La operación esperada alimenta el perfil transaccional. El monitoreo compara posteriormente el comportamiento real contra ese perfil. Las desviaciones generan alertas que pueden provocar reclasificación, requerimientos adicionales, seguimiento reforzado o un Aviso. Finalmente, la auditoría debe verificar si toda esa arquitectura funcionó efectivamente.
De la identificación uniforme a la debida diligencia diferenciada
Las RCG abandonan, por tanto, una visión uniforme del expediente, los artículos 23 Bis a 23 Bis 4 introducen la clasificación individual de Clientes o Usuarias, mientras que los artículos 23 Ter a 23 Ter 5 desarrollan la política de conocimiento, el perfil transaccional y las medidas reforzadas. Las propias RCG establecen que el modelo de evaluación deberá formar parte del MPI.
El objetivo es que la documentación solicitada no dependa exclusivamente de una lista estándar, sino también del Riesgo concreto.
Un Cliente de bajo Riesgo puede quedar sujeto a determinadas medidas simplificadas; uno de Riesgo medio deberá cumplir el expediente correspondiente; y uno clasificado como alto Riesgo requerirá medidas reforzadas, información adicional y, en ciertos casos, aprobación de niveles directivos.
Perfil transaccional: conocer lo esperado para detectar lo anómalo
Otro elemento esencial es el perfil transaccional. El MPI deberá establecer cómo se construye y cuáles serán los parámetros utilizados para determinar cuándo una operación se aparta del comportamiento esperado.
Este cambio es especialmente importante porque la PLD deja de concentrarse exclusivamente en preguntar “¿quién es el Cliente?” y comienza a exigir también respuestas respecto de “¿cómo debería operar este Cliente conforme a lo que sabemos de él?”.
La inconsistencia entre actividad económica, volumen de operaciones, origen de los recursos, frecuencia, localización geográfica o destino económico puede convertirse en un indicador relevante para el sistema de alertas y para una eventual reclasificación de Riesgo. Las RCG exigen que las políticas de monitoreo y conocimiento sean congruentes con la metodología general.
Grupos empresariales, automatización, supervisión del SAT y calendario de implementación
Uno de los cambios con mayores consecuencias corporativas se encuentra en el tratamiento de los grupos empresariales. La LFPIORPI dispone que, cuando quienes realizan Actividades Vulnerables formen parte de un grupo empresarial, deberán implementar políticas aplicables a las sucursales y filiales de propiedad mayoritaria, incluidas las extranjeras.
El artículo 37 Bis 1 de las RCG desarrolla esta obligación y exige políticas y mecanismos centralizados siempre que sean aplicables al conjunto de integrantes, permitan compartir información para identificar y mitigar Riesgos y, simultáneamente, garanticen el cumplimiento individual de cada sucursal o filial. La centralización, por tanto, no elimina la responsabilidad individual.
Una holding puede desarrollar metodología, herramientas tecnológicas, criterios de clasificación, listas y procedimientos comunes; sin embargo, cada entidad que realiza una Actividad Vulnerable deberá ser capaz de acreditar que cumple las obligaciones que jurídicamente le corresponden.
Este punto adquiere especial complejidad respecto de filiales extranjeras. La política corporativa deberá coordinar la LFPIORPI con la regulación local, las restricciones sobre transferencia transfronteriza de datos, confidencialidad y protección de información personal.
El Manual puede remitir a otros documentos
Otra innovación práctica se encuentra en el artículo 37. Las RCG permiten que ciertos criterios, medidas, procedimientos o información aparezcan en documentos distintos del MPI, pero éste debe contener referencias claras hacia ellos.
Ello permite una arquitectura documental más sofisticada: el MPI puede funcionar como documento rector y remitirse a matrices de Riesgo, procedimientos operativos, instructivos tecnológicos, protocolos PEP, políticas de listas, metodologías de auditoría o manuales de sistemas.
Pero la posibilidad de utilizar documentos separados no debe producir fragmentación. Durante una revisión, el sujeto obligado tendrá que demostrar que todos ellos forman un conjunto consistente, vigente y efectivamente aplicado.
Una excepción útil: operaciones que la empresa decidió no realizar
El artículo 37 Bis 2 introduce una regla especialmente práctica. Cuando el sujeto obligado determine que no llevará a cabo determinados tipos de actos u operaciones, puede quedar exento de desarrollar políticas específicas para ellos, siempre que esa decisión esté expresamente consignada en el MPI.
Sin embargo, la exclusión termina en cuanto la empresa decida realizar la operación. Antes de ejecutarla deberá incorporar las políticas, criterios, medidas y procedimientos correspondientes.
Esto convierte al catálogo de productos, servicios y operaciones autorizadas en un elemento jurídicamente relevante del cumplimiento. El negocio no debería comenzar una nueva modalidad operativa sin una revisión previa del MPI.
¿Puede el SAT modificar el Manual?
Aquí conviene formular una precisión importante, el artículo 37 Bis 3 no establece literalmente que el SAT pueda editar directamente el MPI. Lo que dispone es que, durante el ejercicio de sus facultades de supervisión, el SAT puede señalar al sujeto obligado que efectúe modificaciones al MPI y a los documentos referenciados en éste cuando, a juicio de la autoridad, sean necesarias para cumplir o aplicar correctamente las RCG.
La diferencia no es menor, la responsabilidad de modificar, aprobar e implementar el documento continúa perteneciendo al sujeto obligado; sin embargo, la autoridad adquiere una facultad expresa para cuestionar su suficiencia y exigir ajustes.
El MPI pasa, así, de ser un documento interno a convertirse en un instrumento directamente supervisable.
Los mecanismos automatizados también forman parte de la nueva arquitectura
La fracción X del artículo 18 de la LFPIORPI exige mecanismos automatizados para monitorear permanentemente actos y operaciones, detectar desviaciones respecto del perfil transaccional, controlar acumulaciones y dar seguimiento intensificado a Clientes de alto Riesgo o PEP.
El artículo 41 de las RCG desarrolla las funciones mínimas de dichos mecanismos. Su implementación no debe considerarse un proyecto exclusivamente informático: la herramienta tecnológica deberá ejecutar criterios que previamente hayan sido definidos jurídicamente en la metodología y en el MPI.
Si el sistema genera alertas bajo parámetros diferentes a los previstos en el Manual, existe una inconsistencia de cumplimiento. Lo mismo ocurre si el Manual habla de revisión periódica, pero el sistema no conserva históricos suficientes para demostrarla.
Un calendario que no debe confundirse
La entrada en vigor general del Acuerdo 115/2026 será el 30 de noviembre de 2026, pero las obligaciones principales tienen fechas escalonadas.
Para quienes ya estaban registrados y cuyo plazo ordinario de noventa días ya concluyó, el Tercero Transitorio exige contar, a partir del 1 de marzo de 2027, con un MPI que incorpore la metodología del EBR y ponerlo a disposición de las autoridades cuando sea requerido. En esa misma fecha será exigible la evaluación de Riesgo y comenzarán a aplicarse, respecto de los actos u operaciones correspondientes, los capítulos de clasificación de Riesgo, conocimiento del Cliente y Beneficiario Controlador.
El primer periodo anual de capacitación comprenderá del 1 de enero al 31 de diciembre de 2027. Los mecanismos automatizados deberán encontrarse implementados a más tardar el 1 de junio de 2027, con información de las operaciones realizadas desde esa fecha. Finalmente, el primer periodo de auditoría abarcará del 1 de enero al 31 de diciembre de 2028.
Estas fechas evidencian algo importante: marzo de 2027 no debe ser visto como el momento para comenzar a revisar el MPI, sino como la fecha en la que una parte sustancial de la estructura deberá encontrarse operativamente lista.
Consideración final
El cambio más profundo no es la nueva denominación “Manual de Políticas Internas”. Es la transformación de su función.
El MPI deberá explicar qué riesgos enfrenta la organización, cómo los identifica, con qué datos los mide, cómo clasifica al Cliente, qué diligencia aplica, cómo determina su perfil transaccional, qué considera una desviación, quién investiga una alerta, cuándo se escala, quién decide continuar o terminar una relación, cómo se presenta un Aviso, qué información conserva y cómo comprueba que todo el modelo funciona.
Esto exige abandonar los manuales genéricos construidos mediante reproducción de disposiciones legales, un documento que únicamente transcriba la LFPIORPI o las RCG podrá describir la regulación, pero difícilmente demostrará cómo cumple la empresa.
La preparación adecuada para 2027 debería comenzar con una evaluación de brechas entre el MPI actual y los catorce contenidos del artículo 37 Bis; continuar con el diseño de una metodología específica de Riesgo; revisar expedientes, perfiles y sistemas; establecer responsabilidades; adecuar mecanismos automatizados; preparar la capacitación; y generar evidencia verificable de cada proceso.
La reforma convierte al MPI en la columna vertebral del programa antilavado. Su suficiencia ya no se medirá por número de páginas, sino por la capacidad de conectar norma, riesgo, operación, evidencia y supervisión en un sistema coherente que pueda sostenerse frente a un requerimiento del SAT o de la UIF.
Sobre el autor
Mtro. Adrián Alfonso Paredes Santana
Licenciado en Contaduría Pública y Abogado por la Universidad de Guadalajara, Maestro en Impuestos por Instituto de Especialización para Ejecutivos (IEE), Socio de las firmas PVE Consultores y ASMX Solutions
Sigue leyendo
