Reforma a las Reglas PLD. Adopción obligatoria del Enfoque Basado en Riesgos

Contexto general

A partir del 30 de noviembre de 2026, la Secretaría de Hacienda y Crédito Público (SHCP) implementará un nuevo esquema regulatorio obligatorio para quienes realizan Actividades Vulnerables en México. Ante esta profunda modificación técnica y operativa, es indispensable que los sujetos obligados conozcan las nuevas disposiciones que reforman el sistema antilavado. Este cambio sustituye el modelo de cumplimiento uniforme por uno basado en riesgos, alineando el régimen nacional con los estándares internacionales del Grupo de Acción Financiera (GAFI).

Legislación aplicable

Por disposición de la SHCP, mediante el Acuerdo 115/2026¹ publicado en el Diario Oficial de la Federación (DOF) el 07 de agosto de 2026 en su edición vespertina, se reforman, adicionan y derogan diversas disposiciones de las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). Este acuerdo faculta a la Unidad de Inteligencia Financiera (UIF) y al Servicio de Administración Tributaria (SAT) para supervisar, evaluar y emitir lineamientos bajo un Enfoque Basado en Riesgos (EBR), transformando la información financiera en inteligencia operativa y otorgando mayor certeza jurídica a los sectores regulados.

Lo que cambia respecto del régimen anterior

Hasta antes de estas modificaciones, el régimen antilavado funcionaba como una lista de tareas idéntica para todos, esto es, que quien realizaba una Actividad Vulnerable debía darse de alta, identificar a su cliente, integrar un expediente con copia de sus documentos y presentar un Aviso cuando la operación superaba un monto determinado. Entonces, cumplir consistía, en esencia, en poder mostrarle dichos documentos a la autoridad competente.

Lo anterior significaba, por ejemplo, que una inmobiliaria pequeña y una plataforma con miles de operaciones diarias estaban sujetas prácticamente al mismo estándar de cumplimiento, y el análisis del riesgo real de cada cliente no existía como una obligación formal.

Mediante las modificaciones contenidas en el Acuerdo 115/2026 publicado se cambia esa lógica, ya que a partir de su entrada en vigor, cada sujeto obligado deberá primero entender y documentar sus propios riesgos, identificando qué tan expuesto está de acuerdo al perfil de sus clientes, sus productos, sus canales de venta y las zonas geográficas donde opera, y a partir de ese diagnóstico decidir cuánta diligencia aplica en cada caso. En la práctica, esto se traduce en seis cambios de fondo:

1. De reglas idénticas para todos a medidas proporcionales al riesgo. Con este nuevo esquema ya no existirá un solo estándar para todos, puesto que cada cliente deberá clasificarse en riesgo bajo, medio o alto, y esa clasificación determinará qué tanta información se le requiere y con qué frecuencia se le revisa. A menor riesgo, habrán requisitos simplificados; a mayor riesgo, se deberá llevar a cabo una diligencia reforzada y se deberá contar con la aprobación de un directivo.
2. De archivar documentos a analizar comportamiento. Anteriormente bastaba con tener el expediente en materia de Prevención de Lavado de Dinero (PLD) completo, pero ahora se exigirá conocer qué se espera de cada cliente: cuánto opera, con qué frecuencia, de dónde vienen y a dónde van los recursos, y se deberá contar con alertas que detecten cuando su conducta se aparte de ese patrón.
3. De umbrales a señales de alerta. El monto de la operación respectiva dejará de ser el único indicador, puesto que ahora los sujetos obligados habrán que reportar dentro de 24 horas siguientes la sospecha fundada de alguna actividad que estos podrían estar vinculados con actos u omisiones posiblemente constitutivos de Delitos de Operaciones con Recursos de Procedencia Ilícita o con los delitos relacionados con estos y con las estructuras financieras de las organizaciones delictivas, incluso cuando la operación no alcance el umbral legal o cuando el cliente haya intentado realizarla y finalmente no se haya concretado.
4. Saber quién está realmente detrás del cliente. El umbral para identificar al Beneficiario Controlador baja de más del 50% a 25% o más del capital, y cuando la propiedad no sea clara habrá que rastrear quién ejerce el control por otros medios o, en última instancia, identificar al directivo de mayor rango. Muchas estructuras corporativas que hoy se consideran resueltas tendrán que volver a analizarse.
5. La autoridad ahora notificará por medios electrónicos. El Portal en Internet se convierte ahora en el canal formal de comunicación con la UIF y el SAT, y deberá revisarse todos los días hábiles, no dos veces al mes, como hasta ahora. Si el documento no se abre dentro de tres días hábiles, la notificación electrónica se tendrá por realizada al cuarto día hábil, y evidentemente los plazos empezarán a correr.
6. El cumplimiento se vuelve auditable. El Manual de Políticas Internas pasará ahora de ser un documento formal a ser el manual de operación del sistema; la capacitación del personal se vuelve anual y obligatoria; y cada año un auditor, interno si el riesgo es bajo o medio, externo certificado por la UIF si es alto, deberá dictaminar si el sistema realmente funciona.

La consecuencia práctica de estos cambios es que, ante una revisión por parte de las autoridades, ya no bastará con que los sujetos obligados exhiban los expedientes integrados de sus clientes y los corresponidnetes Avisos presentados, sino que ahora los sujetos obligados deberán demostrar que existía un sistema diseñado para detectar el riesgo, que operó efectivamente y que las decisiones tomadas fueron consistentes con lo que ese sistema arrojó.

Reglas operativas

Las nuevas disposiciones introducen cambios significativos que los sujetos obligados deberán integrar en sus procesos internos de cumplimiento, mismos que se detallan a continuación:

• Metodología de Evaluación de Riesgos (Capítulo II Quáter): Diseño e implementación obligatoria de un método para identificar, analizar, medir y mitigar los riesgos derivados de los actos u operaciones, los Clientes o Usuarias, las transacciones, los canales de envío o distribución y los países o áreas geográficas. Debe incorporar la Evaluación Nacional de Riesgos que emita la UIF, identificar Mitigantes y sustentarse en información de al menos 12 meses sobre número de clientes, número de operaciones y monto operado, con proyecciones cuando se trate de negocios nuevos. Además, deberá evaluarse el riesgo antes de lanzar nuevos productos, servicios, canales o atender nuevos tipos de clientes, y revisarse cuando surjan nuevos riesgos, se actualice la Evaluación Nacional de Riesgos o, a más tardar, dentro de los 12 meses siguientes a la obtención de resultados. La documentación debe conservarse 10 años.
• Grado de Riesgo del Cliente y diligencia diferenciada (Capítulo III Bis): Obligación de clasificar a cada Cliente o Usuaria en, cuando menos, riesgo bajo, medio y alto, con base en factores inherentes y transaccionales, y de reevaluar esa clasificación al menos cada seis meses. La clasificación determina la diligencia aplicable, como medidas simplificadas en riesgo bajo, expediente completo en riesgo medio y diligencia reforzada en riesgo alto. Deben considerarse de riesgo alto, por lo menos, las PEP (Persona Políticamente Expuesta) extranjeras y determinados clientes no residentes vinculados con jurisdicciones de riesgo o regímenes fiscales preferentes.
• Conocimiento y Perfil Transaccional (Capítulo III Ter): Se define por primera vez el perfil transaccional, comportamiento esperado del cliente según monto, frecuencia, área geográfica, origen y destino de recursos y actividad económica, y se exige un sistema de alertas que detecte desviaciones. Una operación podrá generar análisis aun cuando no rebase ningún umbral legal, si resulta inconsistente con el perfil esperado.
• Personas Políticamente Expuestas (Capítulo III Quáter): Se incorpora una definición regulatoria desarrollada de PEP, nacionales y extranjeras, que alcanza a determinados familiares y personas con vínculos patrimoniales, y se habilita la aplicación oficial Consulta PEP 2.0. Cuando una PEP sea además cliente de alto riesgo, la operación requerirá aprobación de un directivo o equivalente.
• Identificación del Beneficiario Controlador (Capítulo III Quinquies): El umbral de participación baja de más del 50% a 25% o más del capital social y se establece un orden de prelación obligatorio: i) propiedad, ii) control por otros medios y iii) como criterio residual, la persona física de mayor rango administrativo. Debe documentarse el procedimiento seguido y conservarse el soporte de la conclusión; la obligación alcanza a fideicomisos y otras figuras jurídicas, ascendiendo en la cadena hasta la persona física de última instancia. Se deroga la figura de "Dueño Beneficiario".
• Avisos por sospecha, hechos o indicios (24 horas): Envío obligatorio de Avisos dentro de las 24 horas siguientes a la detección de conductas o comportamientos inusuales, de información proveniente de fuentes públicas o privadas que permita advertir un posible vínculo ilícito, o de coincidencias en las listas previstas en el artículo 38 de las Reglas. Estos Avisos proceden aun cuando la operación no alcance el umbral e incluso cuando no haya llegado a celebrarse, operaciones intentadas, siempre que exista información suficiente para identificar a la persona involucrada.
• Plataformas Cripto (Activos Virtuales): Reglas de trazabilidad para proveedores de servicios que exigen conservar por 10 años e informar datos del originante, receptor, Beneficiario Controlador cuando corresponda, billetera digital (wallet), fecha y hora, activo, monto y equivalente en pesos, tipo de operación y comisiones cobradas. Se establecen umbrales duales, 210 UMA sobre el monto de la operación y 4 UMA sobre la contraprestación, y se considera Actividad Vulnerable la mera facilitación o intermediación, aunque la plataforma no tenga control de los activos.
• Notificaciones electrónicas y consulta diaria del Portal (artículos 5 Bis y 6): El Portal deja de ser únicamente una plataforma de presentación de Avisos y se convierte en medio formal de comunicación. Deberá consultarse al menos una vez cada día hábil; existen tres días hábiles para abrir el documento y, de no hacerlo, la notificación se tiene por realizada al cuarto día hábil.
• Expediente único reforzado (artículos 11, 12 y 21): El expediente deja de ser un conjunto de identificaciones y debe permitir reconstruir los actos u operaciones, incorporando correspondencia comercial relacionada, resultados de análisis previos y los datos mínimos del Beneficiario Controlador. Se mantiene su revisión al menos anual para clientes con Relación de negocios. Además, se amplían los requerimientos de información del SAT, cuyo plazo de respuesta pasa de cinco a diez días hábiles, prorrogable hasta por cinco.
• Fideicomisos, asociaciones en participación y grupos empresariales: Se adiciona el Capítulo II Ter con reglas específicas de alta, registro y actualización de integrantes mediante archivos XML generados en el Portal, con nuevos Anexos 2 Bis y 2 Ter. En asociaciones en participación, el asociante es responsable del alta con la Firma Electrónica Avanzada asociada al RFC de la propia asociación. Las personas morales, fideicomisos y demás figuras deberán usar su propia Firma Electrónica Avanzada y no la de sus representantes. Los grupos empresariales pueden adoptar políticas centralizadas, incluso respecto de filiales extranjeras, sin que ello elimine la responsabilidad individual de cada entidad.
• Manual de Políticas Internas (Capítulo X): El documento genérico previsto en el anterior artículo 37 se sustituye por un Manual que se convierte en el documento rector del sistema. Debe integrarse dentro de los 90 días naturales siguientes al alta y contemplar al menos catorce materias, entre ellas identificación y conocimiento del cliente, clasificación de riesgo, diligencia diferenciada, PEP, perfil transaccional, Avisos, conservación, acumulación, listas, funciones del REC, capacitación, auditoría, confidencialidad y su propia actualización, además de la metodología EBR y el procedimiento para abrir, limitar o terminar relaciones comerciales. El SAT puede ordenar modificaciones al Manual.
• Capacitación y selección de personal (Capítulo XII): La capacitación se vuelve obligatoria al menos una vez al año y debe alcanzar a consejo de administración o administrador único, directivos, al REC, persona Representante Encargada de Cumplimiento, y al personal de atención al público, identificación, Avisos y auditoría. Quien la imparta deberá acreditar al menos cinco años de experiencia en PLD, las constancias requieren evaluación de conocimientos y la evidencia se conserva 10 años. Adicionalmente, se incorpora una obligación nueva de debida diligencia sobre empleados, con procedimientos de selección que verifiquen calidad técnica, experiencia y honorabilidad, y declaraciones sobre antecedentes.
• Mecanismos automatizados (Capítulo XIII): Deberán ser proporcionales al volumen, naturaleza, complejidad y riesgo, y permitir conservar y actualizar expedientes, consolidar operaciones por cliente, monitorear el perfil transaccional, efectuar acumulaciones, alimentar la metodología EBR, ejecutar la clasificación de riesgo, generar alertas, detectar PEP y personas listadas y conservar históricos por 10 años. La norma no exige software especializado, admite hojas de cálculo o bases de datos, pero sí verificabilidad y trazabilidad.
• Auditoría anual de efectividad (Capítulo XIV): Se vuelve obligatoria la revisión anual que evalúe y dictamine la efectividad del cumplimiento. Si el Riesgo del sujeto obligado es bajo o medio, el dictamen puede emitirlo el área de auditoría o control interno, siempre que sea independiente del REC; si el Riesgo es alto, o así lo elige el sujeto obligado, deberá intervenir una persona auditora externa independiente con título y cédula, al menos tres años de experiencia en PLD y certificación vigente de la UIF. Cada obligación se calificará en una escala, cumple, cumple mayoritariamente, cumple parcialmente, no cumple, no aplica, y cada hallazgo deberá vincularse a una acción correctiva, responsable, plazo y una proyección económica de las multas potenciales.

Cronograma de transición y vigencia

De acuerdo con los artículos transitorios del Acuerdo, la implementación gradual de las nuevas obligaciones se ejecutará bajo los siguientes plazos específicos:

• Entrada en vigor general: El 30 de noviembre de 2026.
• Metodología de Evaluación de Riesgos (EBR): Deberá estar a disposición de las autoridades, previo requerimiento, a partir del 01 de marzo de 2027. La información y los factores considerados para elaborarla deberán corresponder al año inmediato anterior, por lo que la recopilación de datos debe iniciar desde 2026.
• Manual de Políticas Internas: Quienes ya estén dados de alta y hayan concluido el plazo de 90 días naturales del artículo 37 deberán contar con su Manual, incluida la metodología del Capítulo II Quáter, a partir del 01 de marzo de 2027.
• Reglas sobre Clientes, PEP y Beneficiario Controlador: Aplicable a operaciones a partir del 01 de marzo de 2027.
• Procedimientos de selección de personal: Obligatorio para nuevas contrataciones a partir del 1 de marzo de 2027.
• Mecanismos automatizados de monitoreo: Fecha límite de implementación al 01 de junio de 2027.
• Proveedores de servicios de Activos Virtuales ya registrados: Quienes realicen la Actividad Vulnerable del artículo 17, fracción XVI de la Ley y ya estén dados de alta en el Portal deberán actualizar y entregar la información del artículo 10 Bis dentro de los 6 meses siguientes a la entrada en vigor, es decir, a más tardar el 30 de mayo de 2027.
• Primer periodo anual de capacitación: Del 01 de enero al 31 de diciembre de 2027.
• Primer periodo de revisión de auditoría anual: Del 01 de enero al 31 de diciembre de 2028. El dictamen correspondiente deberá entregarse al auditado a más tardar el último día hábil de marzo de 2029.
• Consulta PEP 2.0: La consulta prevista en el artículo 23 Quáter 1 podrá realizarse nueve meses después de la entrada en vigor del Acuerdo, es decir, a partir de finales de agosto de 2027.
• Nuevos Avisos por sospecha, hechos o indicios (artículos 26 Bis, 26 Bis 1, 26 Bis 2 y 27, segundo párrafo): Su envío será exigible seis meses después de que entre en vigor la Resolución que modifique los formatos oficiales de Avisos e Informes, la cual aún no ha sido publicada.
• Sistema de notificaciones electrónicas: La Secretaría deberá implementar los mecanismos tecnológicos del artículo 6 dentro de los ocho meses siguientes a la entrada en vigor.

Conclusión

El cumplimiento uniforme queda formalmente eliminado para dar paso a una gestión preventiva basada en el nivel de riesgo de cada operación. Ya no bastará con acreditar que se integró un expediente o que se presentó un Aviso, sino que ahora será necesario demostrar que existía un sistema razonablemente diseñado para identificar el riesgo, que ese sistema operó y que las decisiones adoptadas fueron congruentes con sus resultados. El cumplimiento deja de ser exclusivamente documental para volverse también procedimental, tecnológico y probatorio.

El Acuerdo 115/2026 escalona la exigibilidad de las nuevas obligaciones, previendo la entrada en vigor general para el 30 de noviembre de 2026, pero señalando que la metodología EBR, el Manual de Políticas Internas y las reglas sobre Clientes, PEP y Beneficiario Controlador serán exigibles hasta el 01 de marzo de 2027, los mecanismos automatizados hasta el 01 de junio de 2027 y el primer periodo de auditoría hasta 2028; no obstante, ese calendario no debe interpretarse como un margen para posponer la preparación para el cumplimiento de las nuevas Reglas en la materia hasta 2027.

Lo anterior, dado que existen cuando menos tres razones para iniciar desde 2026. En primer lugar, debido a que la metodología EBR que deberá estar disponible el 01 de marzo de 2027 debe elaborarse con información y factores del año inmediato anterior, de modo que los datos correspondientes a 2026 tendrán que haberse capturado y ordenado durante ese mismo ejercicio. Además, las obligaciones no son independientes entre sí, puesto que la clasificación de clientes, el perfil transaccional, el Manual y los mecanismos automatizados parten de los resultados de la evaluación de riesgos, por lo que un retraso inicial impactará en lo subsecuente. Finalmente, la remediación de expedientes bajo el nuevo umbral de Beneficiario Controlador y los criterios de PEP suele ser la actividad más prolongada, pues depende de información que debe solicitarse a los propios clientes.

Por ello recomendamos iniciar durante 2026, cuando menos, con un diagnóstico de brechas frente al Acuerdo 115/2026, el inventario de Actividades Vulnerables, productos, canales y tipos de cliente, el diseño de la metodología EBR y del modelo de clasificación de clientes, la remediación de expedientes KYC, la actualización integral del Manual de Políticas Internas, la especificación funcional de los mecanismos automatizados, el programa 2027 de capacitación y selección de personal y la política de consulta diaria del Portal.

Lo anterior es fundamental para evitar la imposición de multas y garantizar la continuidad regular de sus operaciones comerciales antes de que concluyan los plazos transitorios fijados por la autoridad.

Nuestra Firma dará puntual seguimiento legal a la habilitación de estos lineamientos e informará sobre cualquier actualización o guía práctica que publiquen las autoridades competentes.

Fuente:

• Diario Oficial de la Federación del 7 de agosto de 2026
  https://dof.gob.mx/index_113.php?year=2026&month=08&day=07#gsc.tab=0