La nueva arquitectura del conocimiento del cliente bajo la LFPIORPI

Dos obligaciones relacionadas que ya no deben confundirse

Durante años, en la práctica del cumplimiento en materia de prevención de lavado de dinero, las expresiones identificación del cliente, conocimiento del cliente y Know Your Customer se han utilizado como si describieran una sola obligación. Esa aproximación resulta cada vez menos sostenible frente a la nueva arquitectura regulatoria derivada de las reformas a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita y, particularmente, de las Reglas de Carácter General modificadas mediante el Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026.

Aunque ambos conceptos comparten fundamento legal, las nuevas reglas los desarrollan mediante mecanismos diferenciados. La Identificación de la Persona Cliente o Usuaria se concentra en acreditar documentalmente quién es la persona con la que se realiza una Actividad Vulnerable. El Conocimiento de la Persona Cliente o Usuaria, en cambio, exige construir una expectativa razonada respecto de su comportamiento, asignarle un Grado de Riesgo, determinar su Perfil Transaccional y vigilar de manera continua si sus operaciones mantienen congruencia con ese perfil.

La diferencia es esencial para implementar correctamente la reforma. Una obligación responde a una pregunta de identidad: ¿quién es este cliente? La otra responde a una pregunta de comportamiento y riesgo: ¿cómo se espera que opere y qué debo hacer si comienza a comportarse de manera distinta?

La identificación: establecer jurídicamente quién es el cliente

El punto de partida se encuentra en el artículo 18, fracción I, de la LFPIORPI. La disposición obliga a quienes realizan Actividades Vulnerables a identificar y conocer de manera directa a sus Clientes o Usuarias, verificar su identidad con documentos u otros medios de identificación con reconocimiento oficial y recabar copia de la documentación correspondiente conforme a las Reglas de Carácter General.

Las RCG desarrollan la dimensión de identificación principalmente en su Capítulo III. La obligación es predominantemente documental: obtener datos, verificar su consistencia, cotejar documentos y conservar evidencia suficiente para que cada operación pueda atribuirse a una persona plenamente identificada. No se trata únicamente de solicitar una credencial o almacenar una copia de un documento; el objetivo es integrar un expediente capaz de demostrar quién intervino en la relación u operación y bajo qué identidad jurídica lo hizo.

El artículo 12 constituye el núcleo operativo de esta obligación, al exigir la integración y conservación de un expediente único de identificación por Cliente o Usuaria. El contenido varía según la naturaleza de la persona: física nacional o extranjera, moral, moral de derecho público, fideicomiso, embajada u organismo internacional. Los Anexos 3 a 8 complementan esa regulación mediante la determinación específica de los datos y documentos que deben incorporarse en cada supuesto.

Este diseño confirma algo que las organizaciones deben incorporar a sus procedimientos internos: no existe un expediente universal de cliente. La información que permite identificar adecuadamente a una persona física es distinta de aquella necesaria para comprender la estructura jurídica de una sociedad mercantil, un fideicomiso o una figura extranjera.

Identificar implica también saber quién está detrás

La obligación de identificación tampoco concluye cuando se obtiene el nombre formal de la contraparte. El artículo 18, fracción III, de la LFPIORPI añade la obligación de recabar documentación que permita identificar al Beneficiario Controlador cuando el Cliente sea una persona moral, fideicomiso u otra figura jurídica. Tratándose de una persona física, deberá obtenerse su declaración respecto de si tiene o no conocimiento de la existencia de un Beneficiario Controlador.

Este elemento adquiere particular importancia porque desplaza el análisis desde la identidad meramente formal hacia la realidad de control o beneficio económico subyacente. Conocer la denominación de una sociedad y obtener su acta constitutiva no necesariamente permite saber quién ejerce finalmente el control o recibe los beneficios de una operación.

Las propias reglas prevén, además, mecanismos reactivos. Conforme al artículo 22, cuando existan indicios de que una persona Cliente actúa por cuenta de otra sin haberlo declarado, deberá solicitarse información adicional con la finalidad de identificar al Beneficiario Controlador. La identificación, por tanto, debe entenderse como un proceso de atribución jurídica de identidad, no como una simple tarea administrativa de recopilación documental.

El expediente no es permanente: debe mantenerse vigente

Otra equivocación frecuente consiste en asumir que el expediente de identificación se integra una vez y conserva indefinidamente su validez, las nuevas reglas exigen exactamente lo contrario. El artículo 21 obliga a verificar, cuando menos una vez al año, que el expediente se encuentre completo y actualizado. A su vez, el artículo 23 prohíbe mantener registros de Clientes bajo nombres ficticios o confidenciales. Esto convierte a la identificación en una obligación de ciclo continuo: incorporación inicial, cotejo, conservación, revisión y actualización.

Para una empresa sujeta a la LFPIORPI, la consecuencia organizacional es evidente. Ya no basta contar con carpetas digitales o físicas. Debe existir un mecanismo que permita saber qué expedientes fueron actualizados, cuáles contienen documentación próxima a perder vigencia, cuáles presentan inconsistencias y quién es responsable de subsanarlas. La calidad del cumplimiento dependerá, en buena medida, de que la información pueda ser recuperada y explicada cuando la autoridad la solicite.

Conocer al cliente comienza donde termina la identificación

Una vez establecida razonablemente la identidad del Cliente, comienza una obligación distinta: conocer su comportamiento esperado. Las RCG desarrollan esta materia en el Capítulo III Ter y construyen una política que ya no gira principalmente alrededor de documentos, sino de riesgo y comportamiento.

El artículo 23 Ter exige elaborar y observar una política de conocimiento del Cliente o Usuaria que incluya, al menos, medidas para mitigar riesgos conforme al Enfoque Basado en Riesgos; procedimientos para el seguimiento y monitoreo de operaciones; mecanismos para determinar el Perfil Transaccional; supuestos en los cuales las operaciones se aparten de dicho perfil y resulte necesario actualizar el expediente; así como criterios para establecer y, en su caso, modificar el Grado de Riesgo.

Esta política deberá incorporarse al Manual de Políticas Internas y basarse precisamente en el Grado de Riesgo representado por cada Cliente. Aquí se produce el cambio conceptual más importante de la reforma.

El cumplimiento deja de ser únicamente retrospectivo —reunir documentos que acrediten quién realizó determinada operación— para convertirse también en prospectivo: establecer qué comportamiento sería razonablemente esperable y detectar oportunamente cuando la realidad se aparta de esa expectativa.

El Perfil Transaccional: construir una referencia contra la cual comparar

El artículo 23 Ter 1 introduce uno de los componentes esenciales del nuevo modelo: el Perfil Transaccional. Para determinarlo deben considerarse, entre otros factores, la información proporcionada por el propio Cliente, el monto, número y frecuencia de sus operaciones y el origen y destino de los recursos.

Durante los primeros seis meses, la regulación permite construir el perfil inicial con base en la información declarada por la propia persona Cliente. Sin embargo, ese punto de partida no permanece inalterable. El perfil debe incorporarse a un sistema de alertas y evaluarse cuando menos cada seis meses. Esto cambia significativamente la lógica de los sistemas internos de cumplimiento.

Ya no será suficiente saber que un Cliente está debidamente identificado. Será necesario determinar, por ejemplo, qué montos suele operar, con qué periodicidad, qué tipo de transacciones realiza, cuál es el origen previsible de sus recursos y hacia dónde suelen dirigirse. A partir de ahí, cada operación podrá compararse con una referencia previa.

Una transacción atípica no será necesariamente ilícita. Pero sí puede convertirse en una señal que exige análisis, explicación, actualización del expediente o aplicación de controles reforzados.

Las alertas convierten el conocimiento en vigilancia efectiva

El artículo 23 Ter 2 complementa esta estructura al obligar a implementar un sistema de alertas que permita identificar oportunamente cambios en el comportamiento o en el Perfil Transaccional del Cliente.

Este elemento resulta fundamental porque un perfil sin capacidad de comparación sería prácticamente inútil. La empresa deberá ser capaz de detectar que un Cliente cuya operación histórica se encontraba dentro de determinados parámetros comienza a realizar movimientos significativamente distintos en monto, frecuencia, origen o destino.

La política de conocimiento deja así de ser una declaración escrita dentro del Manual de Políticas Internas y se transforma en un proceso operativo. La eficacia del sistema dependerá de que existan parámetros definidos, responsables para atender las alertas y procedimientos para documentar las decisiones adoptadas.

El Grado de Riesgo determina cuánto debemos conocer

La segunda columna del nuevo esquema es el Grado de Riesgo, no todos los Clientes deben recibir el mismo nivel de escrutinio. Precisamente por ello, los artículos 23 Ter 3 a 23 Ter 5 establecen medidas reforzadas para quienes sean clasificados como de Riesgo alto.

En esos casos podrá requerirse mayor información sobre la actividad preponderante, aplicarse un monitoreo más estricto y utilizarse cuestionarios reforzados. Para personas físicas pueden exigirse datos adicionales sobre origen y destino de recursos, así como determinada información del cónyuge y dependientes económicos. Para personas morales, las reglas contemplan mayor profundidad en la revisión de información societaria.

La regulación aumenta todavía más el nivel de control cuando coinciden dos circunstancias: que el Cliente sea Persona Políticamente Expuesta y, además, haya sido clasificado como de Riesgo alto. En ese supuesto debe obtenerse la aprobación de un directivo o equivalente antes de continuar la relación, o generarse la constancia correspondiente cuando quien realiza la Actividad Vulnerable sea una persona física. La consecuencia es clara: el conocimiento del Cliente debe ser proporcional al riesgo que representa.

La diferencia también se refleja en las fechas

La separación entre identificación y conocimiento no solamente tiene consecuencias conceptuales y operativas. También produce dos momentos regulatorios distintos. Conforme al análisis de las nuevas reglas, la obligación general de identificación será exigible con la entrada en vigor general de las RCG, prevista para el 30 de noviembre de 2026. Desde ese momento deberán operar, entre otras obligaciones, los controles correspondientes a integración, conservación y actualización del expediente.

La política integral de conocimiento del Cliente, en cambio, se encuentra vinculada con el Grado de Riesgo y el Perfil Transaccional desarrollados en el Capítulo III Ter. Conforme al Transitorio Cuarto del Acuerdo 115/2026, sus disposiciones deberán observarse respecto de actos u operaciones realizados a partir del 1 de marzo de 2027.

No debe interpretarse este diferimiento como una invitación para esperar hasta febrero de 2027, construir perfiles, metodologías de riesgo, sistemas de alertas, procedimientos de escalamiento y mecanismos de monitoreo requiere tiempo, información histórica y, en muchos casos, adecuaciones tecnológicas. La ventana regulatoria debe utilizarse para implementar.

Dos rutas de cumplimiento, no un solo proyecto documental

La manera más ordenada de enfrentar la reforma consiste en separar ambos proyectos. La primera ruta debe concentrarse en Identificación: determinar qué Anexo corresponde a cada categoría de Cliente, integrar expedientes, cotejar documentos, identificar Beneficiarios Controladores, actualizar información y establecer responsables de conservación documental.

La segunda debe orientarse al Conocimiento: diseñar criterios de clasificación de riesgo, construir Perfiles Transaccionales, establecer alertas, determinar cuándo una desviación requiere investigación adicional, definir medidas reforzadas y documentar los niveles de autorización correspondientes.

El propio material analizado presenta ambas obligaciones mediante dos rutas operativas diferentes, precisamente para evitar que se diluyan dentro de un único concepto genérico de KYC. Esa separación debería reproducirse en manuales, sistemas, matrices de responsabilidad y programas de capacitación.

Identificar es acreditar; conocer es interpretar

La reforma obliga a superar una visión excesivamente documental del cumplimiento, una organización puede tener todos sus expedientes correctamente integrados y, aun así, desconocer realmente a sus Clientes.

Puede conocer su nombre, domicilio, identificación oficial, constitución societaria y Beneficiario Controlador, pero no advertir que las operaciones comenzaron a desviarse significativamente del comportamiento originalmente declarado.

La identificación y el conocimiento son, por ello, obligaciones sucesivas y complementarias. Identificar es acreditar quién es la persona. Conocer es interpretar su comportamiento a la luz del riesgo. La primera construye el expediente, y la segunda convierte ese expediente en una herramienta de vigilancia.

Y esa diferencia probablemente será una de las transformaciones más relevantes del nuevo modelo mexicano de prevención de lavado de dinero: el cumplimiento dejará de medirse únicamente por la cantidad de documentos conservados y comenzará a evaluarse también por la capacidad de la organización para entender, comparar, detectar y reaccionar frente al comportamiento real de sus Clientes.