El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público (“SHCP”) publicó en el Diario Oficial de la Federación el Acuerdo 115/2026 por el que se modifican las Reglas de Carácter General (“RCG”) a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (“LFPIORPI” o “Ley Antilavado”) (el “Acuerdo”).

Estas modificaciones se derivan de la reforma a la LFPIORPI publicada el 16 de julio de 2025, que amplió el catálogo de Actividades Vulnerables, modificó la definición de Beneficiario Controlador, incorporó la auditoría anual y la capacitación obligatoria, entre otros aspectos, así como de la reforma al Reglamento de la LFPIORPI publicada en marzo de 2026, que precisó las facultades del Servicio de Administración Tributaria (“SAT”), la lógica de acumulación de operaciones y el régimen aplicable a Personas Políticamente Expuestas (“PEP”). El Acuerdo constituye la pieza final de esa actualización normativa y busca robustecer el Enfoque Basado en Riesgos, la identificación del Beneficiario Controlador, el uso de herramientas tecnológicas y la profesionalización de los sujetos obligados.

En síntesis, las modificaciones más relevantes consisten en: (i) la migración a un Enfoque Basado en Riesgos (“EBR”) con una metodología documentada de evaluación de riesgos; (ii) la clasificación del Grado de Riesgo de los Clientes o Usuarias, con revisión al menos semestral, y la creación del Perfil Transaccional; (iii) la obligación reforzada de identificar al Beneficiario Controlador; (iv) la incorporación de un régimen específico para Personas Políticamente Expuestas; (v) la actualización integral del Manual de Políticas Internas; (vi) la implementación de mecanismos automatizados para el monitoreo permanente de operaciones; (vii) la realización de auditorías anuales de cumplimiento; y (viii) el establecimiento de programas de capacitación obligatoria y criterios de selección de personal. Las nuevas RCG entrarán en vigor el 30 de noviembre de 2026, con obligaciones exigibles de forma escalonada conforme al calendario que se detalla más adelante.

I. Análisis

I.1 Objeto de la Reforma y Nuevas Obligaciones

La reforma tiene por objeto establecer las medidas y procedimientos mínimos que deben observar quienes realicen Actividades Vulnerables referidas en el artículo 17 de la LFPIORPI. Obliga a los sujetos a implementar programas de cumplimiento basados en un Enfoque Basado en Riesgos junto con mecanismos automatizados de monitoreo.

I.2 Enfoque Basado en Riesgos (EBR) y Clasificación del Grado de Riesgo

Quienes realicen Actividades Vulnerables deben diseñar e implementar una metodología documentada de evaluación de Riesgos que considere: (a) actos u operaciones, tipo de clientes, países y áreas geográficas, y canales de distribución; (b) la Evaluación Nacional de Riesgos de la UIF; y (c) los Mitigantes existentes. Deberá aplicarse previo a nuevos productos o servicios, actualizarse al menos cada 12 meses, y estar disponible para revisión del SAT a partir del 1 de marzo de 2027. La clasificación deberá dividirse en al menos tres Grados de Riesgo: bajo, medio y alto, con reevaluación al menos cada seis meses. Se introduce el Perfil Transaccional para detectar desviaciones en el comportamiento del Cliente o Usuaria.

I.3 Identificación del Cliente o Usuario

Quienes realicen Actividades Vulnerables deberán identificar y conocer de manera directa a su Cliente o Usuaria, para lo cual elaborarán y analizarán los criterios, medidas y procedimientos internos que se requieran. La obligación de “identificar y conocer” se desdobla en dos obligaciones complementarias: la identificación (integrar el expediente con los datos y documentos del Cliente o Usuaria al inicio de la relación) y el conocimiento del cliente (comprender su actividad, el origen de sus recursos y su comportamiento esperado durante la Relación de Negocios). Deberán integrar y conservar un expediente único de identificación de cada uno de sus Clientes o Usuarias, a disposición de la UIF o el SAT.

I.4 Beneficiario Controlador

Las nuevas RCG crean el Capítulo III Quinquies “Del Beneficiario Controlador” (artículos 23 Quinquies a 23 Quinquies 3), que constituye una de las novedades más relevantes. Se precisa y amplía la definición de Beneficiario Controlador, reduciendo el umbral de control del 50% al 25% del capital social, y se establece una metodología jerárquica secuencial para su identificación: (a) primero, quien posea directa o indirectamente el 25% o más del capital social; (b) si esto no permite identificarlo, quien tenga el control por otros medios relacionados con la estrategia, dirección o toma de decisiones; y (c) en su defecto, el funcionario de mayor jerarquía.

Se establece la obligación de recabar información de accionistas, socios, fideicomitentes, fideicomisarios, órganos de administración y dependientes económicos. Para fideicomisos y otras figuras jurídicas, las RCG obligan a ascender en la cadena de titularidad hasta la persona física que ejerce el control en última instancia. Deberá documentarse el procedimiento seguido —no solo el resultado—, conservar los registros y mantenerlos actualizados durante toda la vigencia de la relación de negocios.

I.5 Ter  Personas Políticamente Expuestas (PEP)

Expuestas. Se considera PEP a la persona física que desempeña o ha desempeñado funciones públicas relevantes, en México o en el extranjero. Se asimilan a esta categoría el cónyuge, concubina o concubinario, parientes por consanguinidad o afinidad hasta el segundo grado y socios con vínculos patrimoniales. Una PEP nacional conserva ese carácter durante el año siguiente a la separación del cargo. Para verificar esta calidad, se introduce la posibilidad de consultar la aplicación Consulta PEP 2.0 de la UIF, disponible a partir del 30 de agosto de 2027. Cuando un Cliente o Usuaria sea PEP y tenga Grado de Riesgo alto, deberán aplicarse medidas de debida diligencia reforzada, incluyendo la aprobación de un directivo antes de celebrar el acto u operación.

I.6 Manual de Políticas Internas

Quienes realicen Actividades Vulnerables deberán contar con un Manual de Políticas Internas que integre la metodología de riesgos y contenga, como mínimo: criterios de identificación y conocimiento de Clientes; mecanismos de clasificación de Riesgo y debida diligencia proporcional; procedimientos para PEP y Beneficiario Controlador; detección de desviaciones del Perfil Transaccional; procedimientos para Avisos e Informes; funciones de la Representante Encargada de Cumplimiento; programas de capacitación; mecanismos de control interno, supervisión, auditoría y confidencialidad; y procedimientos de actualización del propio Manual. El Manual actualizado deberá estar disponible a partir del 1 de marzo de 2027.

I.7 Mecanismos Automatizados

Quienes realicen Actividades Vulnerables deben contar con mecanismos automatizados —que pueden implementarse mediante hojas de cálculo, bases de datos u otros medios equivalentes, no necesariamente software especializado— que permitan: conservar expedientes, agrupar operaciones por cliente, detectar desviaciones del Perfil Transaccional, ejecutar el modelo de clasificación de riesgo, generar alertas para clientes de alto riesgo y monitorear el uso de efectivo y metales preciosos. El histórico del Grado de Riesgo deberá conservarse por no menos de diez años. Fecha límite de implementación: 1 de junio de 2027.

I.8 Auditorías

Quienes realicen Actividades Vulnerables deberán someterse a una auditoría anual que cubra del 1° de enero al 31 de diciembre de cada año, con dictamen entregable a más tardar el último día hábil de marzo siguiente. Si el riesgo es bajo o medio, la auditoría interna es suficiente; si es alto, deberá realizarse por un auditor externo independiente con título profesional en áreas afines, al menos tres años de experiencia en materia antilavado y certificación vigente de la UIF. La evaluación se cataloga en cinco niveles (Cumple, Cumple mayoritariamente, Cumple parcialmente, No cumple y No aplica). El primer periodo sujeto a auditoría será el ejercicio 2028, con dictamen a más tardar en marzo de 2029.

I.9 Capacitación y Selección de Personal

Las nuevas RCG establecen la obligatoriedad de contar con un programa anual de capacitación dirigido a los miembros del consejo de administración, al administrador único, directivos, funcionarios, la Representante Encargada de Cumplimiento y a los empleados que atiendan al público, identifiquen clientes, envíen Avisos o realicen auditoría. Los cursos deberán impartirse al menos una vez al año, ser congruentes con la metodología de riesgo y ser impartidos por personas con experiencia mínima de cinco años en la materia. Deberá conservarse evidencia documental por un plazo mínimo de diez años. Asimismo, se establecen lineamientos para la selección de personal: deberá obtenerse una declaración firmada sobre experiencia previa en sectores obligados y sobre la ausencia de sentencias por delitos patrimoniales o inhabilitaciones. Estos procedimientos serán aplicables a nuevas contrataciones a partir del 1 de marzo de 2027.

I.10 Notificaciones Electrónicas

La consulta del Portal del SAT, antes quincenal, pasa a ser obligatoria al menos una vez cada día hábil. La notificación electrónica se tiene por realizada al cuarto día hábil siguiente a su envío, aun cuando el sujeto obligado no la haya abierto. En la práctica, conviene designar a un responsable y a un suplente de la consulta diaria y llevar una bitácora de acceso, pues los plazos correrán con independencia de que el Portal se revise.

II. Calendario para cumplimiento

Se establece un esquema de cumplimiento escalonado conforme a las siguientes fechas:

• 30 de noviembre de 2026: Entrada en vigor general de las nuevas RCG (Transitorio Primero).

• 1 de enero de 2027: Inicia el primer periodo anual de capacitación obligatoria (Transitorio Séptimo). Conservar evidencia documental por mínimo diez años.

• 1 de marzo de 2027: Exigibles la metodología EBR, clasificación por Grado de Riesgo, Perfil Transaccional, identificación del Beneficiario Controlador, Manual de Políticas Internas actualizado y procedimientos de selección de personal (Transitorios Segundo, Tercero, Cuarto y Sexto).

• 30 de mayo de 2027: Fecha límite para actualizar información del artículo 10 Bis para intercambio habitual de activos virtuales (Transitorio Décimo Segundo).

• 1 de junio de 2027: Fecha límite para mecanismos automatizados implementados (Transitorio Noveno).

• 30 de agosto de 2027 (estimado): Disponibilidad de Consulta PEP 2.0 de la UIF.

• 1 de enero de 2028: Inicia el primer periodo sujeto a auditoría anual (Transitorio Octavo). Dictamen a más tardar en marzo de 2029.

III.  Implicaciones para las empresas

Lo dispuesto por el Acuerdo es de carácter obligatorio para todas las personas físicas o morales que realicen Actividades Vulnerables. El sujeto obligado que hoy cumple solo con el estándar documental enfrentará, en 2027 y 2028, exigencias de trazabilidad, tecnología y evidencia que no pueden improvisarse. Las fechas límite de marzo y junio de 2027 dejan menos de un año para: (i) rediseñar la metodología EBR y el Manual; (ii) implementar los mecanismos automatizados; y (iii) definir si la auditoría 2028 se cubrirá con personal interno o un auditor externo certificado por la UIF.

IV. Próximos pasos y recomendaciones

Ante la entrada en vigor escalonada de estas obligaciones, recomendamos adoptar las siguientes acciones:

• Iniciar la recopilación y análisis de operaciones de los últimos 12 meses (desde marzo de 2026) como base para la evaluación de Riesgos.
• Diseñar e implementar la metodología de Enfoque Basado en Riesgos y documentarla en el Manual de Políticas Internas.
• Elaborar o actualizar el Manual de Políticas Internas con todos los elementos mínimos exigidos, incluida la designación de la Representante Encargada de Cumplimiento.
• Clasificar a los Clientes o Usuarias por Grado de Riesgo (bajo, medio, alto) con reevaluación semestral.
• Adoptar mecanismos automatizados de monitoreo operativos a más tardar el 1 de junio de 2027.
• Programar la capacitación anual en PLD/FT (primer periodo: 1 de enero de 2027).
• Prever la auditoría anual; si el Riesgo es alto, deberá ser externa, independiente y certificada por la UIF.
• Implementar procedimientos para identificar y documentar al Beneficiario Controlador conforme a la metodología jerárquica.
• Establecer políticas para identificación y seguimiento de PEP con debida diligencia reforzada para alto riesgo.
• Realizar un análisis para dimensionar recursos humanos, tecnológicos y presupuestales necesarios.

Si tiene alguna pregunta sobre el alcance o implementación de esta nota, favor de contactarnos.

Bernardo Mendoza: bmendoza@k-g.com.mx

Dorothy Lerch: dlerch@k-g.com.mx