El nuevo régimen del Beneficiario Controlador en actividades vulnerables

Del concepto legal a la obligación corporativa: quién es realmente el Beneficiario Controlador

La regulación nacional del Beneficiario Controlador ha dejado de ser una obligación accesoria de identificación para convertirse en uno de los ejes de la transparencia societaria y de la prevención de operaciones con recursos de procedencia ilícita. La reforma publicada en el Diario Oficial de la Federación (DOF) el 16 de julio de 2025 modificó sustancialmente la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI); posteriormente, el Reglamento de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (RLFPIORPI) fue reformado el 27 de marzo de 2026, y las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (RCG) fueron modificadas mediante el Acuerdo 115/2026. El documento técnico proporcionado analiza precisamente esta construcción normativa escalonada.

El punto de partida se encuentra en el artículo 3, fracción III, de la LFPIORPI, la norma define al Beneficiario Controlador como la persona física o grupo de personas físicas que, en última instancia, obtiene determinados beneficios derivados de un acto u operación o ejerce el control efectivo sobre una persona moral. Para determinar ese control, la ley atiende a tres posibilidades: imponer decisiones en asambleas o designar o destituir a la mayoría de administradores; mantener derechos que permitan ejercer el voto respecto de más del veinticinco por ciento del capital social; o dirigir, directa o indirectamente, la administración, estrategia o principales políticas de la persona moral.

La reforma contiene una precisión conceptual decisiva: el Beneficiario Controlador debe ser una persona física. Jurídicamente, esto obliga a atravesar estructuras intermedias, una sociedad accionista, una sociedad holding o cualquier otra entidad situada dentro de una cadena corporativa puede constituir un eslabón de análisis, pero no necesariamente el punto final de identificación. La investigación debe continuar hasta localizar a la persona física que ejerce el control efectivo en última instancia.

La propia LFPIORPI añadió que su definición de Beneficiario Controlador es equiparable, para los efectos legales correspondientes, a las expresiones “beneficiario final” y “propietario real”. Esta homologación terminológica facilita la articulación entre diversos cuerpos normativos, pero no significa que todos ellos hayan adoptado exactamente los mismos criterios cuantitativos o procedimientos de identificación.

Dos obligaciones jurídicamente distintas

Esta distinción resulta fundamental, el artículo 18, fracción III, de la LFPIORPI impone a quienes realizan Actividades Vulnerables el deber de obtener documentos u otros medios de identificación que permitan conocer al Beneficiario Controlador cuando la persona Cliente o Usuaria sea una persona moral, fideicomiso u otra figura jurídica. Esta es una obligación de debida diligencia respecto del cliente.

Pero la reforma de 2025 incorporó algo diferente: el Capítulo IV Bis, integrado por los artículos 33 Bis, 33 Ter y 33 Quáter. Conforme al artículo 33 Bis, las sociedades mercantiles deben atender los requerimientos destinados a determinar claramente quién es su propio Beneficiario Controlador y conservar la información que sustente esa determinación. Además, cuando se transmita el dominio o se constituyan derechos sobre partes sociales o acciones, deberá presentarse el aviso correspondiente respecto de su inscripción en el libro societario mediante el sistema electrónico que opere la Secretaría de Economía (SE).

El artículo 33 Ter agrega que las sociedades mercantiles deben registrar en ese sistema la información necesaria para identificar a quienes actualicen los supuestos de Beneficiario Controlador, conforme a los lineamientos que emita la Secretaría de Hacienda y Crédito Público (SHCP). Por su parte, el artículo 33 Quáter contempla la promoción ante autoridades estatales para que sociedades y asociaciones civiles identifiquen también a su respectivo Beneficiario Controlador.

Por ello, una sociedad puede encontrarse simultáneamente en dos posiciones: como sujeto que debe identificar al Beneficiario Controlador de sus clientes por realizar una Actividad Vulnerable y como persona moral obligada a conocer, documentar y registrar a su propio Beneficiario Controlador.

El RLFPIORPI y el reenvío normativo

El artículo 14 del RLFPIORPI confirma que serán las RCG las que determinen los casos de excepción a la identificación del Beneficiario Controlador, dependiendo de la naturaleza de la persona Cliente o Usuaria. El Reglamento, por tanto, no sustituye a la ley ni desarrolla íntegramente la metodología; funciona como puente normativo entre la obligación legislativa y su ejecución operativa.

Este diseño explica por qué el cumplimiento no puede construirse consultando un solo ordenamiento. La LFPIORPI determina el concepto y la obligación; el RLFPIORPI delimita aspectos de instrumentación; y las RCG establecen la mecánica concreta que deberá incorporarse a los procedimientos internos.

La identificación operativa, el régimen fiscal paralelo y el verdadero riesgo empresarial

La modificación de las RCG mediante el Acuerdo 115/2026 introduce un cambio especialmente relevante: la identificación del Beneficiario Controlador de una persona moral deberá realizarse siguiendo un orden de prelación y no mediante criterios utilizados discrecionalmente.

El artículo 23 Quinquies ordena, primero, identificar a la persona física o grupo de personas físicas que directa o indirectamente adquiera, sea titular o posea, por cualquier título legal, 25% o más de la composición accionaria o parte social del capital social. Si este criterio no permite la identificación, deberá buscarse a la persona física que ejerza control por otros medios vinculados con la estrategia, toma de decisiones o dirección de las principales políticas. Solamente cuando tampoco pueda determinarse así, deberá identificarse a quien ocupe la posición de funcionario administrativo de mayor grado o de alta dirección.

Aquí existe una cuestión técnica que merece especial atención, mientras el artículo 3, fracción III, de la LFPIORPI utiliza como uno de sus parámetros de control la titularidad de derechos de voto respecto de más del 25% del capital social, el artículo 23 Quinquies de las nuevas RCG establece como primer escalón operativo la titularidad o posesión de 25% o más de la composición accionaria o parte social.

No son expresiones idénticas, tampoco es idéntico referirse a derechos de voto que a composición accionaria. Esta diferencia deberá ser cuidadosamente considerada al diseñar matrices de identificación y manuales internos. Desde una perspectiva preventiva, una política corporativa que comience el análisis desde el 25% permite atender el parámetro operativo más amplio de las RCG, sin abandonar el estudio autónomo del control efectivo previsto por la LFPIORPI.

Excepciones y expediente probatorio

El artículo 23 Quinquies 2 establece excepciones específicas, no será obligatorio recabar los datos de identificación del Beneficiario Controlador cuando la persona Cliente o Usuaria sea una persona moral —o fideicomiso— que cotice en una bolsa mexicana o en mercados extranjeros reconocidos por la legislación mexicana, siempre que proporcione la clave de pizarra, referencia o identificador correspondiente; tampoco cuando se trate de las personas morales previstas en los Anexos 4 Bis, 6 Bis, 7-A y 7 Bis A.

Sin embargo, la excepción no debería transformarse en ausencia documental. El expediente debe permitir demostrar por qué se aplicó el supuesto excepcional.

Las RCG también exigen documentar el procedimiento seguido, conservar la información, documentación y registros, mantenerlos actualizados durante la Relación de negocios y resguardarlos conforme al artículo 18, fracción IV, de la LFPIORPI. Este último precepto impone, como regla general, una conservación mínima de diez años.

Además, el artículo 23 Quinquies 3 permite considerar los lineamientos que emita la Unidad de Inteligencia Financiera (UIF), previa opinión del Servicio de Administración Tributaria (SAT).

Una precisión temporal indispensable

El Acuerdo 115/2026 entrará, en términos generales, en vigor el 30 de noviembre de 2026. Sin embargo, su artículo Cuarto Transitorio dispone específicamente que quienes realizan Actividades Vulnerables deberán observar los Capítulos III Bis, III Ter y III Quinquies —Beneficiario Controlador— respecto de los actos u operaciones realizados a partir del 1 de marzo de 2027. Esta diferencia temporal resulta esencial para organizar adecuadamente la transición normativa.

Por tanto, no debe confundirse la entrada en vigor general del Acuerdo con la fecha específica de aplicación de la metodología contenida en el Capítulo III Quinquies.

El CFF: un segundo régimen que no debe mezclarse

Existe además un régimen paralelo en el Código Fiscal de la Federación (CFF). Su artículo 32-B Ter obliga a las personas morales a obtener y conservar, como parte de su contabilidad, información fidedigna, completa y actualizada sobre sus beneficiarios controladores y entregarla al SAT cuando sea requerida. El artículo 32-B Quinquies exige actualizarla cuando cambie su identidad o participación.

Pero nuevamente aparece una diferencia que impide tratar ambos sistemas como si fueran idénticos: el artículo 32-B Quáter del CFF considera, entre los supuestos de control, la posibilidad de ejercer el voto respecto de más del 15% del capital social. El mismo precepto permite utilizar para su interpretación las recomendaciones del Grupo de Acción Financiera Internacional (GAFI) y del Foro Global sobre Transparencia e Intercambio de Información con Fines Fiscales de la Organización para la Cooperación y el Desarrollo Económicos (OCDE), siempre que ello resulte compatible con las disposiciones fiscales mexicanas.

Consecuentemente, una empresa no debería mantener un expediente “único” elaborado bajo un porcentaje indiscriminado. El área fiscal debe comprobar el cumplimiento del CFF y el área de prevención debe revisar separadamente los parámetros de la LFPIORPI y las RCG, procurando que ambos sistemas compartan información sin confundir sus respectivos fundamentos jurídicos.

El incumplimiento ya no es un riesgo menor

Finalmente, el régimen cuenta con consecuencias económicas expresas. El artículo 53, fracción V, de la LFPIORPI sanciona el incumplimiento de las obligaciones previstas, entre otros, en los artículos 33 Bis y 33 Ter; el artículo 54, fracción II, establece para ese supuesto multas equivalentes a dos mil y hasta diez mil veces el valor diario de la UMA.

Por ello, la identificación del Beneficiario Controlador debe abandonar el terreno de las declaraciones genéricas. El expediente corporativo deberá permitir reconstruir la cadena accionaria, los derechos de voto, los pactos de socios, los poderes de decisión, la administración efectiva y, cuando corresponda, explicar documentadamente por qué se avanzó de un escalón de identificación al siguiente.

La conclusión es clara, el Beneficiario Controlador se ha convertido en un dato jurídico dinámico que debe poder probarse. Ya no basta saber quién aparece en el libro de socios. Será necesario demostrar quién está detrás de la estructura, quién ejerce realmente el poder y qué procedimiento siguió la empresa para llegar a esa conclusión.