La reforma a las reglas de carácter general de la LFPIORPI fortalece el enfoque basado en riesgos y refuerza las obligaciones de los sujetos obligados

Resumen Ejecutivo: El Acuerdo completa la actualización del marco antilavado mexicano mediante la reforma de las Reglas de Carácter General de la LFPIORPI. Las modificaciones se articulan en torno a cinco ejes principales: (i) la implementación obligatoria de mecanismos automatizados de monitoreo, con seis funciones mínimas que incluyen expediente único, perfil transaccional consolidado, modelo de evaluación del grado de riesgo y sistema de alertas; (ii) la adopción de una matriz de riesgo integral, con una metodología documentada de evaluación que considere operaciones, clientes, geografía y canales; (iii) el reforzamiento de las obligaciones de identificación y conocimiento de clientes, incluyendo el régimen de beneficiario controlador con un umbral del 25%, la regulación de Personas Políticamente Expuestas (“PEP”), la consulta a PEP 2.0 y los avisos de 24 horas; (iv) la ampliación del contenido mínimo del Manual de Políticas Internas a 14 rubros obligatorios; y (v) la obligación de contar con una auditoría anual de cumplimiento con un dictamen estructurado, entre otras. La entrada en vigor general será el 30 de noviembre de 2026, con un calendario escalonado de cumplimiento que se extiende hasta 2028.

El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo por el que se modifican las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (“LFPIORPI”) (el “Acuerdo”). El Acuerdo entrará en vigor el 30 de noviembre de 2026. Este Acuerdo constituye la última etapa del proceso de actualización integral del marco normativo antilavado mexicano, después de las reformas a la Ley (DOF, 16 de julio de 2025) y al Reglamento (DOF, 27 de marzo de 2026). Las reformas tienen como objetivo hacer operativas las obligaciones derivadas de dichos ordenamientos, fortaleciendo el enfoque basado en riesgos, la identificación del beneficiario controlador, el uso de herramientas tecnológicas, así como la profesionalización y el control interno de los sujetos obligados. A continuación, se describen los cinco ejes principales de la reforma.

1. Mecanismos Automatizados Obligatorios

El nuevo Capítulo XIII define  de manera amplia los mecanismos automatizados, pudiendo incluir tanto sistemas informáticos especializados como procesos automatizados apoyados en hojas de cálculo, bases de datos u otros medios equivalentes, siempre que cumplan con las funciones previstas en el artículo 41 y sean verificables por la autoridad competente.

Asimismo, se establece que dichos mecanismos deberán ser razonablemente adecuados al volumen, la naturaleza y la complejidad de las operaciones, así como al riesgo del sujeto obligado, y deberán cumplir, al menos, con seis funciones: (i) conservar y actualizar los expedientes únicos de identificación de cada cliente; (ii) agrupar los actos u operaciones en una base consolidada; (iii) proveer la información necesaria para alimentar la metodología de evaluación de riesgos; (iv) ejecutar el modelo de evaluación de riesgos para clasificar a los clientes por grado de riesgo y conservar registros históricos de sus modificaciones por un mínimo de 10 años; (v) ejecutar un sistema de alertas para operaciones con clientes de alto riesgo, PEP, personas incluidas en listas restrictivas nacionales e internacionales y operaciones vinculadas con jurisdicciones de riesgo; y (vi) monitorear el uso de efectivo y metales preciosos conforme al artículo 32 de la Ley. Los mecanismos deberán estar implementados a más tardar el 1 de junio de 2027.

2. Matriz de Riesgo: Enfoque Basado en Riesgos

El nuevo Capítulo II Quáter introduce la obligación de diseñar e implementar una metodología documentada de evaluación de riesgos. La metodología deberá estar prevista en el Manual de Políticas Internas y describir los procesos de identificación, análisis, entendimiento, medición y mitigación de riesgos. Asimismo, deberá considerar al menos cuatro elementos: (a) actos u operaciones, (b) tipos de clientes o usuarios, (c) países y áreas geográficas, y (d) transacciones y canales de distribución. Además, deberá incluir indicadores específicos relacionados con los delitos de financiamiento al terrorismo y de operaciones con recursos de procedencia ilícita, así como tomar en cuenta la Evaluación Nacional de Riesgos emitida por la UIF.

La metodología deberá aplicarse previamente a la implementación de nuevos productos, servicios, canales o modalidades, o antes de dirigir la actividad vulnerable a nuevos tipos de clientes. Los resultados deberán revisarse y actualizarse cuando se detecten nuevos riesgos, se actualice la Evaluación Nacional de Riesgos o, en todo caso, dentro de un plazo máximo de 12 meses. Cuando los resultados revelen mayores o nuevos riesgos, el sujeto obligado deberá modificar sus mitigantes dentro de los 12 meses siguientes. La información generada deberá conservarse por al menos 10 años. La Secretaría privilegiará un enfoque basado en riesgos en su supervisión. Complementariamente, el Capítulo III Bis establece la obligación de clasificar individualmente a cada cliente en, al menos, tres grados de riesgo (bajo, medio y alto), con una evaluación semestral; los clientes vinculados con jurisdicciones de riesgo y las PEP extranjeras deberán clasificarse como de alto riesgo.

3. Identificación y Conocimiento del Cliente

Se refuerzan sustancialmente las obligaciones de identificación y debida diligencia mediante la incorporación de diversos capítulos. El Capítulo III Ter obliga a elaborar y observar una política de conocimiento del cliente que incluya: (i) procedimientos de seguimiento y monitoreo de operaciones; (ii) la determinación del perfil transaccional, considerando montos, frecuencia, origen y destino de los recursos; (iii) un sistema de alertas para detectar desviaciones del perfil transaccional; y (iv) criterios para modificar el grado de riesgo previamente asignado. El perfil transaccional deberá evaluarse al menos cada seis meses. Para los clientes de alto riesgo, se exige una debida diligencia reforzada, incluyendo cuestionarios de identificación y, tratándose de PEP de alto riesgo, la aprobación de un directivo o equivalente.

Asimismo, se establece la consulta obligatoria a la aplicación “Consulta PEP 2.0” de la UIF, disponible nueve meses después de la entrada en vigor. El Capítulo III Quinquies precisa la identificación del beneficiario controlador con un umbral del 25% de participación accionaria o parte social y establece un orden de prelación de tres niveles: (i) titularidad directa o indirecta del 25% o más del capital; (ii) control efectivo por otros medios; y (iii) persona física de mayor jerarquía administrativa. La identificación deberá realizarse con carácter previo a la operación. Finalmente, se exceptúan las entidades que coticen en bolsa y las personas morales de derecho público. Asimismo, se refuerza el régimen de avisos por sospecha e indicios, para los cuales se establece un plazo de 24 horas, y se regulan las operaciones con activos virtuales.

4. Manual de Políticas Internas

El Capítulo X amplía el contenido mínimo del Manual de Políticas Internas, el cual deberá estar disponible dentro de los 90 días naturales siguientes al alta y registro. Se establecen 14 rubros mínimos obligatorios: (I) criterios de identificación y conocimiento del cliente; (II) mecanismos de clasificación de riesgo; (III) medidas de debida diligencia por grado de riesgo; (IV) seguimiento reforzado de PEP; (V) detección de operaciones atípicas respecto del perfil transaccional; (VI) procedimientos de presentación de avisos e informes; (VII) mecanismos de conservación de información; (VIII) acumulación de operaciones para umbrales de aviso; (IX) consulta de listas restrictivas nacionales e internacionales; (X) funciones de la persona Representante Encargada de Cumplimiento; (XI) programas de capacitación; (XII) mecanismos de control interno, supervisión y auditoría; (XIII) medidas de confidencialidad; y (XIV) procedimientos de actualización del propio Manual.

Tratándose de Grupos Empresariales, el artículo 37 Bis 1 establece la obligación de implementar políticas y mecanismos centralizados de cumplimiento aplicables a todas las sucursales y filiales, incluidas las extranjeras, siempre que permitan compartir información para fines de mitigación de riesgos y garanticen el cumplimiento individual de cada entidad. El SAT podrá ordenar modificaciones al Manual cuando lo considere necesario para el correcto cumplimiento de las Reglas. Los sujetos obligados que no lleven a cabo operaciones bajo determinados supuestos podrán estar exentos de establecer políticas aplicables a estos, siempre que así conste en el Manual.

5. Auditoría Anual de Cumplimiento

El nuevo Capítulo XIV establece la obligación de mantener medidas de control que incluyan una revisión anual a cargo de un auditor, quien deberá evaluar y emitir un dictamen sobre la efectividad del cumplimiento de la Ley, su Reglamento y las Reglas. Para los sujetos cuyo riesgo sea evaluado como bajo o medio, la auditoría podrá realizarse por un área de auditoría o control interno, siempre que sea independiente de la persona Representante Encargada de Cumplimiento y cuente con capacitación acreditada. Para los sujetos con riesgo alto, la auditoría deberá ser realizada por un auditor externo independiente que cuente con: título universitario en derecho, contaduría, finanzas, administración o áreas afines; al menos 3 años de experiencia en PLD; certificación vigente de la UIF; y ausencia de servicios previos que generen un conflicto de interés.

Calendario de Implementación