La reforma antilavado ya tiene nuevas reglas
La reforma antilavado entra en su fase operativa: Ley, Reglamento y nuevas Reglas articulan riesgos, clientes, beneficiarios controladores, PPE, alertas, capacitación, sistemas, auditorías y nuevas facultades de supervisión administrativa.
De tres ordenamientos aislados a un solo sistema de cumplimiento
El 16 de julio de 2025 se publicó la reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). Su entrada en vigor general ocurrió el 17 de julio de ese mismo año. La reforma incorporó nuevas Actividades Vulnerables, redefinió al Beneficiario Controlador, creó la figura de Persona Políticamente Expuesta, duplicó determinados plazos de conservación, introdujo el enfoque basado en riesgos y agregó obligaciones hasta entonces inexistentes sobre manuales, capacitación, mecanismos automatizados y auditoría.
Posteriormente, el 27 de marzo de 2026 se publicó la reforma al Reglamento de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (RLFPIORPI), que entró en vigor el 28 de marzo. El Reglamento comenzó a traducir varias de aquellas obligaciones legales en procedimientos concretos, particularmente en materia de acumulación, Avisos de 24 horas, supervisión, Personas Políticamente Expuestas y conservación documental.
Finalmente, el 7 de agosto de 2026 se publicó en edición vespertina del Diario Oficial de la Federación (DOF) el Acuerdo 115/2026 por el que se modifican extensamente las Reglas de Carácter General (RCG) de la LFPIORPI. Ésta es la pieza que, coloquialmente, podría identificarse como la “circular” operativa; jurídicamente, sin embargo, estamos frente a un Acuerdo de modificación a las RCG, no frente a una circular. La publicación es de enorme trascendencia porque permite finalmente correlacionar tres niveles normativos:
LFPIORPI → RLFPIORPI → RCG.
La Ley determina qué debe hacerse, el Reglamento explica en muchos casos cómo funciona jurídicamente la obligación. Las nuevas RCG establecen cómo deberá operar materialmente el sistema de cumplimiento. Sin embargo, existe una cuarta variable indispensable: la entrada en vigor escalonada y ése es precisamente el primer punto que debemos analizar.
I. Antes de estudiar cada obligación: ¿qué está vigente hoy y qué todavía no?
Al 8 de agosto de 2026, la reforma legal de 2025 y el RLFPIORPI reformado en marzo de 2026 ya se encuentran vigentes. Las nuevas RCG fueron publicadas apenas el 7 de agosto, pero su regla general de vigencia establece que entrarán en vigor el 30 de noviembre de 2026, salvo las excepciones contempladas en los artículos transitorios. Además, varias de las obligaciones más complejas fueron diferidas todavía más, el calendario esencial queda así:
Las fechas no son accesorias: determinan qué puede exigir actualmente la autoridad y qué constituye, por ahora, una obligación de preparación. De esta manera, la publicación del 7 de agosto no significa que el 8 de agosto deban estar instalados todos los sistemas, modificados todos los expedientes y practicadas todas las auditorías. Sí significa algo distinto: el periodo de incertidumbre regulatoria terminó en buena medida y comenzó formalmente el periodo de implementación.
II. Enfoque basado en Riesgos: el cambio que reorganiza todo el sistema
1. Lo que hizo la Ley en 2025
El artículo 18, fracción VII, de la LFPIORPI creó la obligación de identificar, analizar, comprender y mitigar los Riesgos a los que está expuesto quien realiza Actividades Vulnerables. Con ello se abandonó parcialmente un modelo uniforme en el que todos los clientes y operaciones recibían prácticamente el mismo tratamiento documental. La lógica nueva es sencilla: a mayor Riesgo, mayor diligencia. La reforma de 2025 creó el principio, pero dejó pendiente su metodología.
2. Lo que agregó el Reglamento en marzo de 2026
El RLFPIORPI comenzó a construir las bases para aplicar medidas diferenciadas conforme al Riesgo y permitió que ciertos Clientes de bajo Riesgo quedaran sujetos a procesos simplificados de identificación. Sin embargo, todavía faltaba saber cómo debía construirse, medirse y documentarse ese Riesgo.
3. Lo que ahora establecen las RCG
Las nuevas RCG resuelven finalmente esa cuestión mediante los artículos 10 Septies a 10 Septies 6. Cada sujeto obligado deberá diseñar una metodología propia de evaluación de Riesgos. Como mínimo deberán examinarse:
actos u operaciones;
tipos de Clientes o Usuarias;
países y áreas geográficas;
transacciones;
canales de distribución o celebración de operaciones.
También deberán definirse indicadores, asignarles valores, ponderar cada factor e identificar los Mitigantes existentes. No bastará, por ejemplo, con escribir: “Los clientes extranjeros tienen mayor riesgo”. Será necesario explicar: qué indicador se utiliza, qué peso tiene, cómo modifica el riesgo, qué mitigante existe y cuál es el resultado final.
4. La Evaluación Nacional de Riesgos deja de ser solamente informativa
Las RCG incorporan formalmente como concepto la Evaluación Nacional de Riesgos, elaborada por la Unidad de Inteligencia Financiera (UIF). Los sujetos obligados deberán incorporar a su metodología aquellos elementos que resulten aplicables a su Actividad Vulnerable. Esto significa que una empresa ya no podrá construir su matriz de Riesgos exclusivamente atendiendo a su propia experiencia.
Deberá demostrar que conoció y consideró los factores nacionales, sectoriales y geográficos identificados por la UIF.
5. La metodología deberá producir consecuencias
Aquí aparece uno de los cambios más importantes. Si la metodología detecta nuevos o mayores Riesgos, el sujeto obligado deberá modificar sus políticas y Mitigantes. Las RCG conceden, bajo los supuestos previstos, un plazo no mayor a doce meses para realizar determinados ajustes. Además, el Servicio de Administración Tributaria (SAT) podrá revisar la metodología, cuestionarla y señalar ajustes cuando considere que no existe una administración adecuada del Riesgo.
Por tanto, la metodología no será un archivo estático elaborado para una visita. Será el documento que deberá justificar por qué la empresa: aceptó a cierto Cliente, lo clasificó en determinado nivel, aplicó una medida simplificada, exigió información adicional o incluso limitó o terminó una relación comercial.
Impacto
Éste es probablemente el cambio estructural más profundo de toda la reforma. La pregunta futura de una verificación ya no será solamente: “¿Presentó el Aviso?” También podrá ser: “¿Por qué consideró bajo Riesgo a este Cliente y qué evidencia sostiene esa conclusión?”
III. Del expediente de identificación al verdadero conocimiento del Cliente
1. La Ley: identificar y conocer directamente
La reforma al artículo 18, fracción I, dejó atrás una visión centrada exclusivamente en obtener copias de identificaciones. Ahora existe una obligación de identificar y conocer de forma directa a las personas Clientes o Usuarias.
2. Las RCG: expediente único
El artículo 12 reformado exige integrar un expediente único de identificación para cada Cliente o Usuaria. Las reglas distinguen entre:
personas físicas nacionales o residentes;
personas morales mexicanas;
personas morales mexicanas de derecho público;
personas físicas extranjeras;
personas morales extranjeras;
embajadas, consulados y organismos internacionales;
fideicomisos;
determinadas entidades sujetas a esquemas simplificados.
Además, las copias deberán ser legibles y cotejarse contra originales o copias certificadas.
3. El expediente deja de ser un conjunto disperso de archivos
Existe una modificación operativa muy relevante. Las nuevas RCG permiten conservación física o electrónica, pero exigen que los datos, documentos, registros de reconstrucción, correspondencia comercial y análisis previos se encuentren dentro de un mismo archivo físico o electrónico único. Por ello, la práctica de conservar identificación en “Compliance”, contratos en “Legal”, comprobantes en “Contabilidad” y correos en las cuentas personales de vendedores tendrá que revisarse. La norma pretende reconstrucción integral.
4. Actualización anual
Tratándose de una Relación de negocios, el expediente deberá verificarse cuando menos una vez al año para confirmar que conserva los datos y documentos aplicables actualizados.
Impacto
El KYC deja de ser un evento inicial, pasa a convertirse en un proceso continuo de mantenimiento documental.
IV. Clasificación individual del Cliente: bajo, medio o alto Riesgo
La metodología general mide el Riesgo del sujeto obligado, pero las nuevas RCG incorporan una segunda evaluación diferente: el Grado de Riesgo de cada Cliente o Usuaria. El artículo 23 Bis exige establecer, como mínimo, tres categorías: bajo, medio y alto. El sujeto puede crear niveles adicionales.
La clasificación deberá considerar características inherentes del Cliente y características transaccionales, incluyendo giro, nacionalidad, residencia, fuente de ingresos, volumen, frecuencia, monto, contrapartes, origen y destino de recursos, monedas e instrumentos utilizados. Además, la clasificación deberá revisarse al menos cada seis meses, y con mayor frecuencia cuando el Riesgo sea mayor.
Impacto
A partir del 1 de marzo de 2027, dos Clientes que celebren exactamente la misma operación pueden estar sometidos a diligencias diferentes. La obligación deja de depender exclusivamente del tipo y monto de la transacción, también dependerá de quién la realiza.
V. Perfil transaccional: habrá que definir qué esperamos que haga cada Cliente
La reforma introduce otro concepto tradicionalmente asociado al sector financiero: el Perfil transaccional. Las RCG lo definen atendiendo, entre otras variables, a: monto, frecuencia, ubicación geográfica, origen y destino de recursos y actividad económica.
Cada sujeto obligado deberá conocer el comportamiento esperado de sus Clientes, durante los primeros seis meses se utilizará, entre otros datos, la estimación proporcionada por el propio Cliente sobre los montos máximos mensuales que espera operar. Posteriormente deberá evaluarse el Perfil al menos cada seis meses.
Ejemplo
Una inmobiliaria recibe de un Cliente información conforme a la cual espera realizar operaciones mensuales por aproximadamente dos millones de pesos. Tres meses después, ese mismo Cliente pretende adquirir inmuebles sucesivos por quince millones mensuales. El problema ya no consiste solamente en determinar si las operaciones alcanzan los umbrales de Aviso. El sistema deberá detectar que el comportamiento se apartó materialmente del Perfil transaccional declarado.
VI. Sistema de alertas: la consecuencia lógica del Perfil transaccional
El artículo 23 Ter 2 exige implementar un sistema de alertas que permita detectar oportunamente modificaciones en el comportamiento de los Clientes. No se exige necesariamente adquirir un costoso software bancario, las propias RCG definen los Mecanismos automatizados de forma suficientemente amplia para comprender sistemas informáticos, bases de datos e incluso procesos automatizados apoyados en hojas de cálculo, siempre que cumplan sus funciones y puedan verificarse.
Impacto
Una empresa pequeña podrá utilizar una solución proporcional a su tamaño, lo que ya no podrá hacer es depender exclusivamente de la memoria de la persona encargada de cumplimiento.
VII. Clientes de alto Riesgo: una diligencia verdaderamente reforzada
La clasificación no será meramente estadística, los artículos 23 Ter 3 a 23 Ter 5 establecen consecuencias específicas para Clientes de alto Riesgo, deberá obtenerse mayor información sobre su actividad, origen y destino de recursos y aplicarse un monitoreo más estricto.
En determinados casos se deberán recabar datos sobre cónyuge, dependientes económicos y vínculos patrimoniales. Para personas morales deberá obtenerse mayor información sobre accionistas o socios y contrastarla con registros electrónicos de la Secretaría de Economía.
Impacto
El expediente de Riesgo alto será materialmente distinto al expediente ordinario, no bastará con etiquetar al Cliente como “alto”. Será necesario demostrar que esa clasificación produjo medidas reforzadas.
VIII. Personas Políticamente Expuestas: finalmente sabemos quiénes entran
1. La Ley de 2025
La LFPIORPI incorporó por primera vez la definición de Persona Políticamente Expuesta (PPE) y ordenó integrar un listado de cargos públicos.
2. El Reglamento de marzo
El RLFPIORPI desarrolló la lista y permitió consultar a la UIF cuando, después de identificar al Cliente, subsistieran dudas sobre su calidad de PPE.
3. Las RCG de agosto
Ahora se resuelve buena parte de las zonas grises, se consideran PPE, entre otras: jefes de Estado o de Gobierno; líderes políticos; altos funcionarios gubernamentales, judiciales y militares; altos ejecutivos de empresas estatales; funcionarios o miembros importantes de partidos políticos, y determinadas personas vinculadas con organizaciones internacionales, además, se asimilan:
cónyuge;
concubina o concubinario;
familiares por consanguinidad o afinidad hasta segundo grado;
asociados o socios de personas morales con las que la PPE mantenga vínculos patrimoniales.
Esto resuelve una duda que existía desde julio de 2025: los miembros importantes de partidos políticos sí quedan expresamente comprendidos en el desarrollo reglamentario de las RCG.
4. Ex-PPE nacionales
Las RCG establecen periodos posteriores a la separación del cargo durante los cuales continuará el tratamiento correspondiente.
5. Consulta PEP 2.0
Se crea operativamente la aplicación Consulta PEP 2.0, a la cual los sujetos obligados podrán acceder mediante e.firma. No obstante, conforme al Décimo Transitorio, la consulta podrá realizarse nueve meses después de la entrada en vigor del Acuerdo. Por tanto, la aplicación no debe presentarse como inmediatamente disponible el 8 de agosto de 2026.
6. PPE extranjera = Riesgo alto
Las PPE extranjeras deberán considerarse, como mínimo, Clientes de alto Riesgo. Para PPE nacionales existirán factores adicionales que permitan determinar si su comportamiento transaccional es coherente con sus ingresos, funciones y nivel de responsabilidad.
Impacto
Ser PPE no implicará automáticamente rechazar al Cliente, implica someterlo a una arquitectura de análisis y monitoreo diferenciada.
IX. Beneficiario Controlador: del formulario a una investigación de control
1. La Ley de 2025
La LFPIORPI redefinió al Beneficiario Controlador para llegar exclusivamente a personas físicas y redujo uno de los criterios de control de más de 50% a más de 25%.
2. Las nuevas RCG establecen una prelación
El artículo 23 Quinquies dispone que para Clientes personas morales deberá seguirse, por lo menos, esta secuencia:
Identificar a la persona física o grupo que directa o indirectamente posea 25% o más de la composición accionaria o parte social.
Si ello no resuelve el control, localizar a quien controle por otros medios y participe en estrategia, decisiones o principales políticas.
En última instancia, identificar a la persona que ocupe la posición administrativa de mayor grado o alta dirección.
Además, deberá documentarse el procedimiento seguido.
3. Existe una diferencia jurídica que merece especial atención
La LFPIORPI y las propias definiciones de las RCG hablan, como criterio de control, de derechos que permitan ejercer más del 25% del voto. Sin embargo, el artículo 23 Quinquies establece como primer escalón identificar a quien posea 25% o más de la composición accionaria, la diferencia no es menor:
Ley: más de 25% de derechos de voto.
Regla operativa: 25% o más de participación accionaria.
En términos de jerarquía normativa, las RCG no pueden ampliar una hipótesis legal más allá de la Ley. Sin embargo, desde una perspectiva práctica de cumplimiento, la nueva regla obligará previsiblemente a identificar desde 25% como parte del procedimiento de diligencia, éste será uno de los puntos jurídicos que merece seguimiento.
4. Excepciones
No será necesario recabar determinados datos cuando el Cliente sea, entre otros casos, una sociedad o fideicomiso listado en mercados reconocidos o ciertas personas morales previstas expresamente en los anexos.
Impacto
Ya no será suficiente pedir al Cliente: “Indique quién es su Beneficiario Controlador”, el sujeto obligado tendrá que poder demostrar cómo llegó a esa conclusión.
X. Registro corporativo de Beneficiario Controlador: no confundir dos obligaciones
Aquí debe mantenerse una distinción importante, los artículos 33 Bis y 33 Ter de la LFPIORPI reformada crearon obligaciones para sociedades mercantiles relacionadas con informar transmisiones de acciones o partes sociales e identificar a su Beneficiario Controlador mediante un sistema operado por la Secretaría de Economía. Las nuevas RCG de agosto regulan ampliamente el Beneficiario Controlador en la relación entre quien realiza la Actividad Vulnerable y su Cliente.
No debe asumirse que una obligación sustituye automáticamente a la otra, tenemos dos planos: transparencia corporativa de la propia sociedad y KYC del Cliente de una Actividad Vulnerable.
XI. Fideicomisos y otras figuras jurídicas: ahora tienen una ruta propia
La reforma legal de 2025 dispuso expresamente que también realizan Actividades Vulnerables quienes actúan mediante fideicomisos u otras figuras jurídicas, las nuevas RCG crean el Capítulo II Ter, ee deberán registrar integrantes o miembros mediante archivos XML y utilizar la e.firma asociada al RFC de la propia estructura jurídica. Tratándose de una Asociación en Participación, el asociante será responsable del alta, utilizando la e.firma asociada al RFC correspondiente.
Impacto
Utilizar un fideicomiso deja de ser una forma de situar la operación fuera de la estructura operativa del padrón.
XII. Alta en el padrón: la e.firma de la entidad adquiere protagonismo
Las nuevas RCG exigen que personas morales, fideicomisos y demás figuras jurídicas utilicen su propia Firma Electrónica Avanzada (e.firma) para los trámites, no podrán utilizar la del representante legal, fideicomitente o apoderado. Además, las actualizaciones deberán efectuarse dentro de los seis días hábiles siguientes al hecho que las motive.
Impacto
La administración del RFC y de la e.firma pasa a ser una función crítica del programa PLD, una e.firma vencida podría dejar de ser solamente un problema tributario y afectar materialmente el cumplimiento antilavado.
XIII. Notificaciones electrónicas: el Portal se convertirá en buzón obligatorio
Esta modificación merece particular atención, al registrarse, los sujetos obligados aceptarán que UIF y SAT practiquen notificaciones electrónicas por el Portal. Existirá un plazo de tres días hábiles para abrir los documentos, si no se abren, la notificación se tendrá por realizada al cuarto día hábil.
Las RCG imponen además la obligación de consultar los medios electrónicos por lo menos una vez cada día hábil.El sistema deberá implementarse tecnológicamente dentro de los ocho meses siguientes a la entrada en vigor del Acuerdo.
Impacto
El Portal PLD deja de ser únicamente un sitio para presentar Avisos, se convierte en un domicilio procesal electrónico. Las empresas deberán designar responsables, sustitutos y controles diarios.
XIV. Avisos de 24 horas: de reportar por monto a reportar por Riesgo
La reforma legal introdujo el Aviso dentro de 24 horas cuando existan hechos o indicios relacionados con posibles operaciones ilícitas. El RLFPIORPI permitió que pudiera presentarse aun cuando la operación no hubiera sido celebrada.
Las RCG ahora profundizan la regla: estos Avisos podrán presentarse incluso cuando el acto u operación no alcance el umbral ordinario y aun cuando no haya sido ejecutado, siempre que existan datos que permitan identificar a la persona involucrada.
Impacto
Ésta es una ruptura conceptual importante, hasta antes de la reforma, buena parte del sistema podía administrarse mediante tablas de umbrales, ahora habrá operaciones de $1 que potencialmente exijan un Aviso si existen circunstancias suficientes de sospecha. Por ello, el cumplimiento deja de ser exclusivamente matemático.
XV. Acumulación de operaciones: ahora deberá efectuarla el sistema
Las RCG confirman que deben acumularse, durante periodos de hasta seis meses, las operaciones individualmente situadas en los supuestos de identificación aplicables. Además, esta acumulación deberá realizarse mediante los Mecanismos automatizados.
Impacto
La obligación deja de descansar en una hoja de cálculo aislada que se actualiza antes del día 17, el control de acumulación formará parte del sistema permanente de monitoreo.
XVI. Mecanismos automatizados: qué deberá hacer realmente el sistema
La Ley únicamente decía que debían existir, las nuevas RCG finalmente explican su contenido. El artículo 41 exige, cuando menos:
conservar y consultar expedientes;
consolidar operaciones por Cliente;
detectar desviaciones del Perfil transaccional;
acumular operaciones;
alimentar la metodología de Riesgo;
ejecutar la clasificación individual de Clientes;
mantener históricos de cambios;
generar alertas por Clientes de alto Riesgo;
identificar PPE;
controlar personas incorporadas en listas relevantes;
detectar operaciones relacionadas con jurisdicciones de Riesgo;
monitorear uso de efectivo y metales preciosos.
El plazo general para contar con estos mecanismos es 1 de junio de 2027, y deberán contener la información de operaciones realizadas desde esa fecha.
Impacto
Estamos frente a una verdadera obligación tecnológica, pero con una precisión favorable: automatizado no significa necesariamente “software especializado”.
Puede cumplirse mediante herramientas de menor complejidad si efectivamente realizan todas las funciones previstas y son auditables.
XVII. Manual de Políticas Internas: deja de ser un documento genérico
La LFPIORPI creó formalmente la obligación del Manual, las RCG determinan que deberá incluir identificación y conocimiento de Clientes, administración de Riesgos y los procedimientos necesarios para cumplir Ley, Reglamento y Reglas. Como regla ordinaria, deberá existir dentro de los 90 días naturales posteriores al alta. Además deberá ser congruente con:
metodología de Riesgos;
clasificación de Clientes;
Perfil transaccional;
alertas;
PPE;
Beneficiario Controlador;
capacitación;
selección de personal;
utilización de mecanismos automatizados.
Impacto
El Manual ya no podrá ser un formato descargado de internet al cual simplemente se cambia la razón social. Tendrá que describir cómo funciona realmente el sujeto obligado, y esa congruencia será auditable.
XVIII. Capacitación: ya sabemos quién, cuándo y con qué contenido
La Ley creó la capacitación anual, las RCG determinan que debe alcanzar a:
consejo de administración;
administrador único;
directivos;
funcionarios;
Representante Encargada de Cumplimiento;
personal de atención al público;
quienes intervengan en identificación;
quienes presenten Avisos;
personal de auditoría.
El programa deberá cubrir Ley, Reglamento, RCG, formatos, Manual, Actividades Vulnerables y Riesgos propios, quien imparta la capacitación deberá acreditar, conforme al texto publicado, al menos cinco años de experiencia en prevención de lavado de dinero y delitos relacionados. También deberán aplicarse evaluaciones y conservar evidencia durante diez años, el primer periodo anual será del 1 de enero al 31 de diciembre de 2027.
Impacto
Ya no bastará con reunir al personal, mostrar una presentación y obtener firmas, deberá existir evidencia de contenido, asistencia, evaluación y medidas frente a resultados insatisfactorios.
XIX. Selección de personal: la honorabilidad se convierte en control regulatorio
Las RCG obligan a establecer procedimientos que permitan asegurar que el personal cuente con capacidad técnica, experiencia y honorabilidad. Estos procedimientos deberán incorporarse al Manual o documento correspondiente. Para nuevas contrataciones serán exigibles a partir del 1 de marzo de 2027.
Impacto
Recursos Humanos entra formalmente al sistema PLD, no será una obligación exclusiva del oficial o representante de cumplimiento.
XX. Auditoría anual: probablemente la obligación con mayor impacto corporativo
La LFPIORPI creó la obligación de auditoría, las nuevas RCG finalmente explican cómo operará.
Riesgo bajo o medio
Cuando el Riesgo institucional sea bajo o medio, la revisión podrá practicarse mediante auditoría o control interno, siempre que exista independencia respecto del Representante Encargado de Cumplimiento y conocimientos suficientes.
Riesgo alto
Cuando el sujeto sea de Riesgo alto, la auditoría deberá practicarse mediante persona auditora externa independiente. El auditor externo deberá:
contar con título y cédula;
acreditar al menos tres años de experiencia PLD;
contar con certificación vigente de la UIF;
satisfacer requisitos de honorabilidad;
carecer de conflictos de interés;
guardar independencia respecto del auditado.
Contenido del dictamen
No será una simple opinión de “cumple/no cumple”, deberá contener metodología, muestra revisada, hallazgos, evaluación individualizada y acciones correctivas. Cada obligación deberá clasificarse como:
Cumple.
Cumple mayoritariamente.
Cumple parcialmente.
No cumple.
No aplica.
Y existe un elemento particularmente novedoso: las acciones correctivas deberán incluir una proyección económica de las multas potencialmente aplicables si no son atendidas. La revisión deberá concluir durante los primeros tres meses posteriores al año auditado y el dictamen entregarse a más tardar el último día hábil de marzo. El primer periodo obligatorio será 2028.
Impacto
La auditoría será, en los hechos, una simulación anual de cómo podría revisar el SAT, y los hallazgos generarán evidencia documental que posteriormente deberá atenderse.
XXI. Conservación documental: diez años y múltiples relojes
La LFPIORPI duplicó de cinco a diez años la obligación general de conservación, las RCG agregan que el expediente debe contener registros que permitan reconstruir individualmente las operaciones, correspondencia comercial y análisis previos.
Además, existen registros históricos de cambios de Perfil transaccional y Grado de Riesgo que también deberán conservarse por diez años. Curiosamente, el dictamen de auditoría y documentación utilizada por el auditor deberán conservarse durante un plazo no menor a cinco años desde la entrega del dictamen.
Impacto
La política corporativa de retención tendrá que distinguir distintos tipos documentales y distintos detonadores del plazo, no basta establecer una sola carpeta denominada “PLD: conservar diez años”.
XXII. Activos virtuales: de una definición general a un régimen especializado
La reforma de 2025 modificó profundamente la fracción XVI del artículo 17 de la LFPIORPI, las nuevas RCG ahora desarrollan:
custodia;
almacenamiento;
facilitación;
intermediación;
contraprestaciones;
participación de múltiples proveedores;
operación frente a clientes propios.
Por ejemplo, se considera contraprestación cualquier comisión, tarifa, cargo o retribución económica, independientemente de su denominación. Si coinciden el umbral de operación y el de comisión, se presenta un solo Aviso conforme al supuesto principal previsto.
Asimismo, un proveedor puede quedar sujeto aun cuando solamente facilite infraestructura para conectar operaciones y no mantenga directamente el control de los activos. Los prestadores ya inscritos tendrán seis meses desde la entrada en vigor del Acuerdo para proporcionar o actualizar determinada información.
Impacto
Las plataformas tecnológicas deberán revisar nuevamente si su función económica puede calificarse como facilitación o intermediación, incluso cuando sostengan que nunca reciben directamente los activos.
XXIII. Desarrollo inmobiliario: la nueva Actividad Vulnerable ya tiene que incorporarse al sistema
La fracción V Bis creada en 2025 incluyó la recepción de recursos destinados a desarrollos inmobiliarios destinados a venta o renta. Las RCG incorporan ya esta nueva fracción dentro de acumulación, Riesgos, identificación y demás controles generales.
Impacto
Desarrolladores que históricamente concentraron su análisis en compraventa o intermediación deberán revisar ahora la recepción de recursos para financiar desarrollos como hecho regulado independiente.
XXIV. Arrendamiento: se confirma la acumulación y la regla de copropiedad
Las nuevas RCG confirman que las operaciones identificables de arrendamiento deberán acumularse en periodos de hasta seis meses. Además, se establece expresamente que en copropiedad cada copropietario cumple sus obligaciones considerando el monto total mensual del arrendamiento, aunque en el Aviso identifique el monto que individualmente recibió.
Impacto
Fraccionar el cobro entre copropietarios no fracciona artificialmente el valor de la Actividad Vulnerable.
XXV. Organizaciones sin fines de lucro: aparece una obligación más amplia que el simple régimen de donativos
Las RCG incorporan medidas específicas relacionadas con financiamiento al terrorismo para determinadas asociaciones y sociedades sin fines de lucro, y contienen una regla especialmente relevante: esas medidas pueden resultar aplicables con independencia de que la organización sea considerada Actividad Vulnerable conforme al artículo 17.
Las medidas comprenderán capacitación y monitoreo relacionado con donantes y países de alto Riesgo.
Impacto
Ésta es una ampliación conceptual importante, la prevención deja de estar completamente vinculada a alcanzar un umbral económico de Actividad Vulnerable.
XXVI. Grupos Empresariales: compartir expedientes será posible, pero no informalmente
Las RCG permiten que determinadas personas morales integrantes del mismo Grupo Empresarial compartan información y expedientes de identificación, sujeto a requisitos, consentimiento del Cliente y controles de confidencialidad.
Impacto
Los grupos podrán centralizar funciones PLD, pero deberán documentar el modelo, la centralización no libera a cada integrante de sus propias obligaciones.
XXVII. Confidencialidad: aparece formalmente la prohibición de “alertar” al Cliente
Las RCG amplían el deber de confidencialidad, queda prohibido informar al Cliente o a terceros respecto de:
referencias realizadas en Avisos;
requerimientos de información de la autoridad;
determinadas órdenes de aseguramiento antes de su ejecución.
Impacto
Será indispensable capacitar a áreas comerciales y directivas, una persona que pretenda “avisarle al buen cliente para que arregle el problema” podría comprometer el cumplimiento del sujeto obligado.
XXVIII. Auditorías, requerimientos y bases de información: el SAT tendrá un expediente mucho más poderoso
La reforma legal amplió las facultades para requerir documentos, datos e imágenes, el RLFPIORPI de marzo diseñó procedimientos de revisión a distancia. Las RCG añaden mecanismos de notificación electrónica, plazos y reglas operativas. Además, el SAT podrá contrastar información del registro con aquella obtenida de dependencias federales, locales, organismos autónomos y otras fuentes.
Impacto
Una discrepancia entre: RFC, CFDI, información corporativa, Avisos PLD, expedientes de Clientes, registros de la Secretaría de Economía y documentación presentada durante verificaciones podrá detectarse con mayor facilidad. El cumplimiento PLD debe comenzar a conciliarse con el cumplimiento fiscal y corporativo.
XXIX. Autocorrección: la auditoría interna puede convertirse en oportunidad, pero también en evidencia
La reforma de 2025 amplió las posibilidades de regularización espontánea, las nuevas reglas de auditoría prevén expresamente que, cuando el dictamen detecte incumplimientos, el sujeto podrá subsanarlos espontáneamente en los casos legalmente procedentes.
Impacto
La auditoría puede funcionar como mecanismo preventivo antes de una revisión del SAT, pero también genera una consecuencia: una vez documentado el incumplimiento internamente, ignorarlo será difícil de justificar posteriormente.
XXX. El nuevo modelo penal sigue detrás de todo el sistema
La reforma de 2025 también modificó el artículo 400 Bis del Código Penal Federal (CPF), eliminando la necesidad de una denuncia previa de la SHCP para determinados supuestos relacionados con el sistema financiero y fortaleciendo la capacidad investigadora del Ministerio Público.
Las nuevas RCG exigen que la metodología de Riesgo incorpore indicadores vinculados precisamente con los delitos previstos en los artículos 139 Quáter y 400 Bis del CPF.
Impacto
El programa PLD ya no debe construirse únicamente preguntando: “¿Qué multa puede imponerme el SAT?” debe considerar también: “¿Qué señales pretendo detectar para evitar que mi actividad sea utilizada en esquemas potencialmente delictivos?”
Cómo queda finalmente el sistema
Después de las reformas de julio de 2025, marzo de 2026 y agosto de 2026, el nuevo régimen puede visualizarse de la siguiente manera:
1. Determinar si realizas una Actividad Vulnerable.
2. Registrarte correctamente en el padrón.
3. Identificar y conocer directamente al Cliente.
4. Identificar al Beneficiario Controlador.
5. Determinar el Riesgo global de tu propia Actividad Vulnerable.
6. Clasificar individualmente a cada Cliente en bajo, medio o alto Riesgo.
7. Construir su Perfil transaccional.
8. Monitorear permanentemente ese Perfil.
9. Generar alertas cuando exista una desviación.
10. Aplicar diligencia reforzada cuando el Riesgo aumente.
11. Detectar y tratar adecuadamente PPE.
12. Acumular automáticamente operaciones.
13. Controlar límites de efectivo.
14. Presentar Avisos ordinarios por umbral.
15. Presentar Avisos de 24 horas cuando existan indicios relevantes, aun sin operación consumada.
16. Mantener un Manual que describa el funcionamiento real del sistema.
17. Capacitar al personal y evaluar sus conocimientos.
18. Seleccionar personal con criterios de capacidad y honorabilidad.
19. Utilizar Mecanismos automatizados adecuados al volumen y Riesgo.
20. Auditar anualmente la eficacia del programa y corregir hallazgos.
Ésa es la dimensión real de la reforma.
Consideración final
Cuando se publicó la reforma legal en julio de 2025 podía afirmarse que México había adoptado un modelo de prevención mucho más cercano al utilizado por sectores financieros regulados. Sin embargo, en aquel momento una parte considerable del sistema todavía era abstracta.
Sabíamos que habría metodología de Riesgos, pero no cómo construirla, sabíamos que habría PPE, pero existían dudas sobre familiares, partidos políticos y consulta.
Sabíamos que habría Beneficiario Controlador reforzado, pero faltaba el procedimiento de identificación.
Sabíamos que habría Mecanismos automatizados, pero no qué funciones tendrían que realizar.
Sabíamos que habría auditoría, pero no quién podía practicarla, qué debía examinar o cómo debía emitirse el dictamen.
La publicación del Acuerdo 115/2026 cambia sustancialmente esa situación, ahora conocemos buena parte de la arquitectura y el resultado es considerablemente más exigente de lo que podía suponerse en julio de 2025. La LFPIORPI ya no funcionará como una legislación basada predominantemente en expedientes, umbrales y Avisos.
El nuevo sistema exigirá que cada sujeto obligado conozca sus propios Riesgos, clasifique Clientes, construya Perfiles transaccionales, genere alertas, documente Beneficiarios Controladores, detecte PPE, controle operaciones mediante sistemas, capacite al personal, practique auditorías y pueda explicar frente al SAT por qué sus controles son razonables y eficaces. Sin embargo, debe evitarse un segundo error: pensar que todo ello es exigible desde el 8 de agosto de 2026. No lo es. Las RCG establecieron deliberadamente una implementación escalonada que llevará el sistema hasta 2028.
Por ello, el periodo que comienza ahora debería utilizarse como una verdadera etapa de transición.
Las empresas deberían iniciar desde este momento el inventario de sus Actividades Vulnerables, limpiar expedientes, determinar fuentes de información, diseñar matrices de Riesgo, revisar estructuras de Beneficiario Controlador, definir Perfiles transaccionales, desarrollar sistemas de alertas, seleccionar herramientas tecnológicas, modificar Manuales y preparar los controles cuya exigibilidad llegará durante 2027.
Porque la diferencia respecto de la reforma de 2025 es decisiva: en aquel momento sabíamos hacia dónde quería dirigirse el legislador; con las Reglas publicadas el 7 de agosto de 2026, ya sabemos buena parte del camino que deberán recorrer los sujetos obligados para llegar ahí.
Sobre el autor
Mtro. Adrián Alfonso Paredes Santana
Licenciado en Contaduría Pública y Abogado por la Universidad de Guadalajara, Maestro en Impuestos por Instituto de Especialización para Ejecutivos (IEE), Socio de las firmas PVE Consultores y ASMX Solutions
Sigue leyendo
