PPE bajo la nueva regulación antilavado

Persona Políticamente Expuesta: concepto en la LFPIORPI

La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita incorporó formalmente al régimen mexicano de Actividades Vulnerables el concepto de Persona Políticamente Expuesta (PPE).

La definición se encuentra en el artículo 3, fracción IX Bis, de la LFPIORPI y comprende a la persona física que desempeña o ha desempeñado funciones públicas en territorio nacional o en un país extranjero, así como a las personas relacionadas con ella que satisfagan las condiciones y características establecidas por la Secretaría de Hacienda y Crédito Público. La reforma vigente corresponde a la publicada el 16 de julio de 2025.

Sin embargo, en septiembre de 2026 el análisis ya no puede limitarse al texto de la Ley. El 7 de agosto de 2026 fue publicado el Acuerdo 115/2026, mediante el cual se modificaron integralmente las Reglas de carácter general de la LFPIORPI y se desarrolló, entre otros temas, el régimen aplicable a las Personas Políticamente Expuestas. El Acuerdo entrará en vigor, como regla general, el 30 de noviembre de 2026, aunque determinadas obligaciones cuentan con calendarios transitorios propios.

¿Quién será considerado PPE?

El nuevo artículo 23 Quáter de las Reglas despeja varias de las interrogantes que originalmente dejó abiertas la reforma legal. Serán consideradas PPE las personas físicas que desempeñen o hayan desempeñado funciones públicas en México o en otro país, incluyendo, entre otros, jefes de Estado o de Gobierno, líderes políticos, funcionarios gubernamentales, judiciales o militares de alta jerarquía, altos ejecutivos de empresas estatales y funcionarios o miembros importantes de partidos políticos y organizaciones internacionales.

Esta precisión es importante porque elimina una posible interpretación restrictiva respecto de los dirigentes partidistas. Bajo las nuevas reglas mexicanas, los funcionarios o miembros importantes de partidos políticos sí quedan expresamente comprendidos en el concepto regulatorio de PPE.

La solución, además, se aproxima al estándar internacional del Grupo de Acción Financiera Internacional. El GAFI comprende dentro del concepto tanto a PPE extranjeras como nacionales e incluye, entre sus ejemplos, altos políticos, altos funcionarios gubernamentales, judiciales y militares, directivos de empresas estatales y funcionarios importantes de partidos políticos. Al mismo tiempo, precisa que el concepto no pretende abarcar normalmente a funcionarios de nivel medio o inferior.

Debe subrayarse que esta categoría es preventiva y basada en riesgo. El propio GAFI advierte que identificar a una persona como PPE no significa considerarla involucrada en actividades criminales y que las medidas reforzadas no deben utilizarse como mecanismo automático de estigmatización o exclusión.

Ser Persona Políticamente Expuesta no implica irregularidad alguna: la categoría funciona como un factor preventivo que obliga a conocer, clasificar y monitorear con mayor profundidad determinadas relaciones y operaciones

Familiares y personas relacionadas también quedan comprendidas

La regulación mexicana amplía expresamente el perímetro, el artículo 23 Quáter asimila a Personas Políticamente Expuestas al cónyuge, concubina, concubinario y familiares por consanguinidad o afinidad hasta el segundo grado, así como a los asociados o socios de personas morales con las que la PPE mantenga vínculos patrimoniales. Por tanto, el procedimiento de identificación no puede agotarse en preguntar si el cliente ocupa personalmente un cargo público.

Los sistemas de conocimiento del cliente deberán tener capacidad para detectar relaciones familiares y patrimoniales relevantes. Esto adquiere especial trascendencia cuando las operaciones se instrumentan mediante sociedades, asociaciones u otras estructuras jurídicas cuyo accionista o socio mantiene vínculos económicos con una PPE.

¿Cuánto tiempo conserva una persona ese carácter?

La salida del cargo tampoco elimina inmediatamente la clasificación, las nuevas reglas establecen que una PPE nacional continuará siendo considerada como tal durante el año siguiente a aquel en que deje el cargo. Además, regulan situaciones en las que una persona dejó recientemente de reunir las características requeridas, prolongando determinadas medidas de tratamiento durante el periodo señalado por el artículo 23 Quáter.

Esto obliga a conservar información histórica. Un sistema que únicamente contraste al cliente contra el cargo que ocupa en la fecha de la operación podría ser insuficiente, pues debe ser capaz de reconocer también a determinados exfuncionarios.

El listado oficial no sustituye el análisis del sujeto obligado

El artículo 51 Ter de la LFPIORPI ordena a la SHCP elaborar y mantener actualizado un listado nominativo de cargos de personas servidoras públicas consideradas políticamente expuestas. Diversas autoridades federales, estatales y municipales deberán remitir información específica para alimentar ese sistema, incluyendo datos de identificación de las personas servidoras públicas.

Las Reglas desarrollan este mecanismo mediante la aplicación Consulta PEP 2.0, a través de la cual quienes realizan Actividades Vulnerables podrán efectuar consultas utilizando la e.firma empleada para su alta y registro. Las autoridades, por su parte, deberán suministrar a la UIF información como nombre, RFC, CURP, fecha de nacimiento, cargo, adscripción y fechas de alta y baja.
No obstante, sería incorrecto interpretar esta herramienta como un sistema que libera al sujeto obligado de realizar su propio análisis.

La LFPIORPI permite consultar a la Secretaría cuando, después de identificar y verificar al cliente, no sea posible determinar si éste es PPE. Además, las nuevas reglas establecen procedimientos de evaluación de riesgos, conocimiento del cliente y seguimiento que requieren valorar información adicional. El listado constituye, por tanto, una herramienta de identificación, no la totalidad del proceso de debida diligencia. Existe, además, un calendario particular: la consulta mediante PEP 2.0 podrá realizarse nueve meses después de la entrada en vigor del Acuerdo 115/2026.

PPE nacional no equivale automáticamente a riesgo alto

Ésta es una de las distinciones más relevantes del nuevo régimen, el artículo 23 Bis 3 establece que, para las PPE de nacionalidad mexicana, los sujetos obligados deberán incorporar factores de riesgo adicionales a los aplicables al resto de sus clientes, con el objeto de determinar si su comportamiento transaccional corresponde razonablemente con sus ingresos, funciones, nivel y responsabilidades.

La norma no dispone que toda PPE mexicana deba clasificarse automáticamente en grado de riesgo alto. La conclusión dependerá del modelo individual de evaluación y de los factores identificados. En contraste, el artículo 23 Bis 4 establece expresamente que las PPE extranjeras deberán ser consideradas, cuando menos, como clientes o usuarios de grado de riesgo alto.

La diferencia no es menor: frente a la PPE nacional opera un análisis reforzado para determinar su grado de riesgo; frente a la PPE extranjera existe una clasificación mínima normativa de riesgo alto.

La nueva regulación distingue entre PPE nacionales y extranjeras: las primeras requieren factores adicionales de riesgo; las extranjeras deberán clasificarse, cuando menos, como clientes de riesgo alto

¿Qué implica una PPE de riesgo alto?

Cuando un cliente tenga grado de riesgo alto, las Reglas exigen mayor información sobre su actividad y un monitoreo más estricto de su comportamiento transaccional. También deberá obtenerse información reforzada sobre el origen y destino de los recursos y, en determinados casos, sobre cónyuge, dependientes económicos y sociedades o asociaciones con vínculos patrimoniales. Tratándose específicamente de PPE extranjeras, deberán recabarse datos adicionales respecto de las personas relacionadas previstas en las Reglas.

Además, el artículo 23 Ter 5 establece un control adicional: cuando el sujeto obligado detecte que una persona es PPE y además tiene grado de riesgo alto, deberá obtener la aprobación de un directivo o equivalente para consentir los actos u operaciones respectivos. Si quien realiza la Actividad Vulnerable es una persona física, deberá documentar las razones que justificaron realizar la operación. Esto confirma nuevamente que PPE y riesgo alto no son conceptos idénticos para todos los casos.

Manual y mecanismos automatizados

La identificación de PPE deberá incorporarse también a la infraestructura interna de cumplimiento. El nuevo artículo 37 Bis exige que el Manual de Políticas Internas incluya los procedimientos para la identificación y seguimiento reforzado de Personas Políticamente Expuestas.

Por otra parte, el artículo 41 exige que los mecanismos automatizados ejecuten sistemas de alertas respecto de operaciones con PPE, clientes de riesgo alto y otros supuestos relevantes. Estos mecanismos deberán estar implementados a más tardar el 1 de junio de 2027.

Las obligaciones de clasificación individual de riesgo y conocimiento reforzado previstas en los Capítulos III Bis y III Ter deberán observarse respecto de actos u operaciones realizados a partir del 1 de marzo de 2027. Asimismo, los sujetos previamente registrados deberán tener actualizado su Manual de Políticas Internas para esa fecha en los términos previstos por las disposiciones transitorias.

Conclusión

La regulación de las Personas Políticamente Expuestas dejó de ser una noción general pendiente de desarrollo. Con la publicación del Acuerdo 115/2026 ya existe una arquitectura normativa que identifica cargos relevantes, incluye expresamente a funcionarios importantes de partidos políticos y organizaciones internacionales, extiende el tratamiento a familiares y determinadas relaciones patrimoniales, establece periodos posteriores al cargo y diferencia el tratamiento entre PPE nacionales y extranjeras.

El principal reto para quienes realizan Actividades Vulnerables será evitar dos errores opuestos. El primero consiste en considerar que toda PPE es automáticamente una persona sospechosa o indeseable. La categoría responde a un mecanismo preventivo de administración de riesgos y no constituye una presunción de ilicitud.

El segundo consiste en limitar el cumplimiento a consultar una lista. El nuevo régimen exige algo considerablemente más complejo: identificación, clasificación individual de riesgo, conocimiento del perfil transaccional, seguimiento reforzado, alertas automatizadas, documentación de decisiones y, cuando confluyan PPE y riesgo alto, autorizaciones adicionales.

De esta manera, la pregunta de cumplimiento ya no será únicamente “¿esta persona aparece en la lista?”, sino también “¿qué riesgo representa, qué información debemos obtener y qué controles exige su relación concreta con nuestra Actividad Vulnerable?”.

Ése es el verdadero cambio introducido por el nuevo régimen: pasar de identificar una calidad pública a administrar documentalmente el riesgo asociado a la relación y demostrar que el seguimiento reforzado efectivamente ocurrió.