El riesgo redefine las obligaciones de quienes realizan actividades vulnerables

El cumplimiento antilavado cambia de lógica

El régimen para la prevención de operaciones con recursos de procedencia ilícita atraviesa una transformación relevante. La modificación de las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) abandona progresivamente una visión predominantemente formal para incorporar un modelo en el que la intensidad de las medidas preventivas deberá responder al nivel de riesgo.

El cambio deriva del Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, mediante el cual se modificaron extensamente las Reglas de Carácter General originalmente expedidas en 2013. La Secretaría de Hacienda y Crédito Público (SHCP) explicó posteriormente, mediante su Comunicado No. 65 del 10 de agosto de 2026, que estas adecuaciones forman parte de la implementación de la reforma a la LFPIORPI publicada el 16 de julio de 2025 y de las modificaciones a su Reglamento publicadas el 27 de marzo de 2026.

La reforma legal de 2025 ya había ampliado el entramado preventivo y actualizado conceptos fundamentales, entre ellos el de beneficiario controlador, además de robustecer las atribuciones de la SHCP. Las Reglas de 2026 llevan ahora esas previsiones al terreno operativo.

El Enfoque Basado en Riesgo deja de ser una referencia conceptual

Uno de los cambios de mayor profundidad se encuentra en el nuevo Capítulo II Quáter, denominado “Enfoque Basado en Riesgos”. El artículo 10 Septies obliga a quienes realizan actividades vulnerables a diseñar e implementar una metodología para evaluar los riesgos derivados de los actos u operaciones comprendidos en el artículo 17 de la LFPIORPI, así como de sus clientes o usuarios, transacciones y canales de envío o distribución.

La obligación no consiste simplemente en elaborar una matriz genérica, la metodología debe incorporarse al Manual de Políticas Internas o a otro documento elaborado por el sujeto obligado y describir los procesos utilizados para la identificación, análisis, entendimiento, medición y mitigación de riesgos. Asimismo, deberá considerar la información pertinente contenida en la Evaluación Nacional de Riesgos que dé a conocer la Unidad de Inteligencia Financiera (UIF).

El artículo 10 Septies 1 desarrolla todavía más esta exigencia, la metodología deberá considerar, cuando menos, factores vinculados con los actos u operaciones; tipos de clientes o usuarios; países y áreas geográficas; así como transacciones y canales de envío o distribución. Además, deberán asignarse valores a los indicadores y elementos de riesgo y evaluarse los controles o mitigantes implementados.

Esto supone un cambio importante para las áreas jurídicas, contables y de cumplimiento: ya no bastará acreditar que existe un procedimiento interno; será necesario demostrar por qué dicho procedimiento guarda proporción con los riesgos concretos del negocio.

El riesgo deberá evaluarse incluso antes de cambiar el negocio

Existe otro aspecto que merece atención, las Reglas disponen que la evaluación no únicamente deberá realizarse sobre la operación existente. También tendrá que efectuarse antes de implementar nuevos medios, canales, modalidades, productos o servicios, o de dirigir la actividad vulnerable a nuevos tipos de clientes o usuarios.

En términos corporativos, ello obliga a integrar el análisis antilavado a decisiones que tradicionalmente podían pertenecer exclusivamente a las áreas comercial, tecnológica o financiera.

El lanzamiento de una plataforma digital, la apertura de operaciones hacia otra región, la incorporación de nuevos esquemas de distribución o la entrada a un segmento distinto de clientes pueden requerir ahora una evaluación preventiva específica. El cumplimiento deja así de actuar exclusivamente después de tomada la decisión empresarial y comienza a formar parte de su diseño.

Conocer al cliente será algo más que integrar un expediente

La modificación también profundiza las reglas relativas a identificación y conocimiento de clientes o usuarios. Se incorporan capítulos específicos sobre clasificación del grado de riesgo, conocimiento del cliente o usuario, Personas Políticamente Expuestas (PEP) y beneficiario controlador. El Acuerdo adiciona, entre otros, los Capítulos III Bis, III Ter, III Quáter y III Quinquies.

Esta estructura evidencia que la identificación documental constituye apenas el punto de partida, pues los sujetos obligados deberán considerar el perfil y grado de riesgo de la persona con quien operan, su comportamiento transaccional y la información necesaria para advertir desviaciones respecto de lo razonablemente esperado.

Asimismo, la regulación desarrolla la identificación del beneficiario controlador. La LFPIORPI define actualmente este concepto como la persona física o grupo de personas físicas que, en última instancia, obtiene el beneficio de una operación o ejerce control efectivo sobre una persona moral. La ley considera, entre otros supuestos de control, la posibilidad de ejercer directa o indirectamente derechos de voto sobre más del 25 % del capital social.

Para las empresas, ello hace indispensable revisar si sus expedientes permiten realmente reconstruir la estructura de propiedad y control y no únicamente identificar a la persona que comparece formalmente ante el sujeto obligado.

Las PEP adquieren una regulación específica

Las Personas Políticamente Expuestas también reciben un tratamiento más estructurado, las nuevas Reglas incorporan disposiciones específicas para su identificación y prevén mecanismos de consulta. El propio Acuerdo incluye un Anexo 10 relativo a la información que determinadas autoridades y organismos deberán proporcionar a la UIF respecto de personas servidoras públicas consideradas políticamente expuestas. Entre los datos contemplados se encuentran nombre, RFC, CURP, fecha de nacimiento, cargo, área de adscripción y fechas de alta y baja en el puesto.

Esto no significa que toda operación celebrada con una PEP deba considerarse ilícita, la lógica regulatoria consiste en reconocer que determinadas circunstancias pueden representar una exposición diferenciada y, por tanto, justificar mayores medidas de conocimiento, seguimiento y análisis.

Precisamente ahí se aprecia la utilidad del Enfoque Basado en Riesgo: evitar tanto la aplicación mecánica de controles idénticos a situaciones distintas como la omisión de medidas reforzadas cuando el nivel de exposición efectivamente las justifique.

Nuevos componentes de la arquitectura de cumplimiento

La modificación de las Reglas no se limita al EBR, el Acuerdo incorpora capítulos dedicados al Manual de Políticas Internas, mecanismos de prevención, capacitación y selección de personal, mecanismos automatizados y auditoría.

Esta estructura obliga a concebir el cumplimiento antilavado como un sistema y no como una suma inconexa de obligaciones.

Para una empresa que realiza actividades vulnerables, la pregunta ya no debería reducirse a determinar si presentó oportunamente sus avisos. También tendrá que examinar si cuenta con políticas documentadas, si su personal conoce las obligaciones aplicables, si existe congruencia entre el riesgo detectado y los controles adoptados, si sus herramientas permiten monitorear las operaciones y si puede demostrar ante la autoridad la eficacia del modelo implementado.

En otras palabras, el expediente documental seguirá siendo relevante, pero estará acompañado por una exigencia creciente de trazabilidad de las decisiones de cumplimiento.

La autoridad también supervisará con base en riesgo

El cambio de paradigma no opera exclusivamente para los particulares, en su Comunicado No. 65, la SHCP señaló que sus propias unidades ejercerán atribuciones bajo un Enfoque Basado en Riesgo, orientando las acciones de supervisión y verificación hacia sectores, actividades o circunstancias de mayor exposición.

Esto tiene una consecuencia práctica relevante, una supervisión basada en riesgo tiende a concentrar recursos institucionales donde la autoridad advierte mayores probabilidades o impactos de incumplimiento. Por ello, los sujetos obligados no solamente tendrán que elaborar una metodología internamente coherente, sino estar en condiciones de justificarla frente a una autoridad que también utilizará criterios de riesgo para decidir dónde y cómo supervisar. La proporcionalidad, por tanto, funcionará en ambas direcciones.

La entrada en vigor no ocurre en una sola fecha

Uno de los aspectos que deben manejarse con mayor precisión es el calendario de implementación, el Transitorio Primero del Acuerdo establece como regla general que las modificaciones entrarán en vigor el 30 de noviembre de 2026. Sin embargo, existen numerosas excepciones.

La evaluación bajo Enfoque Basado en Riesgo deberá encontrarse a disposición de las autoridades, previo requerimiento, a partir del 1 de marzo de 2027, considerando información y factores correspondientes al año inmediato anterior o, cuando no exista información de todo ese periodo, la disponible desde el inicio de la actividad vulnerable.

También a partir del 1 de marzo de 2027 deberán contar con su Manual de Políticas Internas, incluida la metodología de riesgos, quienes se encuentren en los supuestos previstos por el Transitorio Tercero. Desde esa misma fecha deberán observarse las disposiciones de clasificación del grado de riesgo, conocimiento del cliente y beneficiario controlador respecto de los actos u operaciones efectuados desde entonces.

Los procedimientos de selección de personal deberán aplicarse a nuevas contrataciones desde el 1 de marzo de 2027, mientras que el primer periodo anual de capacitación comprenderá del 1 de enero al 31 de diciembre de 2027.

Los mecanismos automatizados deberán estar disponibles a más tardar el 1 de junio de 2027, y el primer periodo de revisión de auditoría abarcará del 1 de enero al 31 de diciembre de 2028. Por ello, describir la reforma simplemente como una obligación que comienza el 30 de noviembre de 2026 sería incompleto. Lo correcto es hablar de una implementación escalonada.

Qué deberían hacer las empresas desde ahora

El periodo previo a esas fechas no debe interpretarse como una etapa de inactividad, la construcción de una metodología de riesgo exige identificar procesos, fuentes de información, características de clientes, zonas geográficas, productos, operaciones, canales y controles existentes. También requiere determinar qué área será responsable de conservar evidencias, actualizar la evaluación y documentar las decisiones adoptadas.

Para abogados y contadores de empresa, el cambio ofrece además una oportunidad para revisar conjuntamente el modelo de cumplimiento.

El área jurídica deberá verificar la adecuación de contratos, expedientes y políticas; la función contable podrá aportar información transaccional indispensable para medir exposiciones; tecnología tendrá que desarrollar o adaptar herramientas de monitoreo; y el órgano encargado del cumplimiento deberá articular todos estos componentes bajo una metodología verificable.

El mensaje regulatorio resulta inequívoco: cumplir ya no significa solamente ejecutar obligaciones predeterminadas, sino comprender el riesgo del negocio y demostrar que los controles adoptados guardan correspondencia con él. Ese tránsito representa uno de los cambios más significativos del régimen preventivo aplicable a las actividades vulnerables desde la expedición de la LFPIORPI.