El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).
La reforma reglamentaria transforma el modelo de cumplimiento aplicable al sector no financiero mexicano. Quienes realizan Actividades Vulnerables deberán pasar de un esquema concentrado principalmente en identificación, integración de expedientes y presentación de avisos a una arquitectura más cercana a la exigida en el sistema financiero: evaluación institucional de riesgos, clasificación individual de clientes, conocimiento del perfil transaccional, monitoreo mediante alertas, debida diligencia reforzada, capacitación, mecanismos automatizados y auditoría periódica.
No todas las obligaciones serán exigibles al mismo tiempo. El Acuerdo entra en vigor, como regla general, el 30 de noviembre de 2026, pero establece un calendario escalonado que se extiende hasta 2028. Esa transición no debe interpretarse como una invitación a esperar. La evaluación de riesgos que deberá estar disponible el 1 de marzo de 2027 utilizará información del año inmediato anterior; por tanto, parte de la evidencia necesaria ya se está generando.
1. El cambio estructural: del cumplimiento formal a la gestión demostrable del riesgo
El nuevo Capítulo II Quáter exige diseñar e implementar una metodología para evaluar los riesgos derivados de:
- los actos u operaciones realizados;
- el tipo de clientes o usuarios;
- los países y áreas geográficas involucrados; y
- las transacciones, medios, canales de envío o distribución.
La metodología deberá documentar los procesos utilizados para identificar, analizar, entender, medir y mitigar el riesgo. También deberá incorporar el contexto de la Actividad Vulnerable y la información aplicable de la Evaluación Nacional de Riesgos.
El Acuerdo no admite una matriz genérica desconectada de la operación. Obliga a relacionar indicadores con factores de riesgo, asignarles valores de manera consistente e identificar los controles o mitigantes que reducen la exposición. La organización deberá, además, evaluar el riesgo antes de introducir nuevos productos, servicios, canales, modalidades o tipos de clientes.
La implementación deberá utilizar, como mínimo, información sobre el número total de clientes, la cantidad de operaciones y el monto operado durante un periodo no menor de doce meses. Las entidades nuevas podrán utilizar datos proyectados, pero tendrán que actualizar la metodología al completar sus primeros doce meses de operación.
Los resultados deberán revisarse cuando surjan riesgos nuevos, cuando se actualice la Evaluación Nacional de Riesgos o, como máximo, dentro de los doce meses siguientes a la obtención de los resultados de la implementación. La documentación asociada deberá conservarse por al menos diez años.
En términos prácticos, la autoridad podrá preguntar no solo si existe una política, sino por qué un factor recibió determinado peso, qué información alimentó el modelo, qué riesgo residual resultó y qué control fue modificado como consecuencia.
2. Cada cliente deberá tener un grado de riesgo
El nuevo Capítulo III Bis obliga a implementar un modelo coherente con la evaluación institucional para clasificar a cada cliente o usuario. Como mínimo, deberán existir tres categorías: riesgo bajo, medio y alto.
La clasificación inicial se apoyará en la información proporcionada por el cliente y deberá revisarse al menos cada seis meses. La frecuencia tendrá que aumentar conforme se eleve el riesgo.
El modelo deberá considerar factores inherentes y transaccionales, entre ellos:
- tipo de persona, nacionalidad, residencia, actividad económica y fuente de ingresos;
- naturaleza y propósito de la relación;
- tipo, monto, volumen y frecuencia de las operaciones;
- número de contrapartes;
- origen y destino de los recursos;
- instrumento monetario y moneda utilizada.
Las personas políticamente expuestas extranjeras y determinados clientes no residentes vinculados con jurisdicciones de riesgo deberán clasificarse, como mínimo, en grado alto. Para las PEP mexicanas deberán establecerse factores adicionales que permitan evaluar si su comportamiento transaccional es razonablemente consistente con sus ingresos, funciones y nivel de responsabilidad.
Este requerimiento cambia el significado operativo del expediente. Identificar al cliente deja de ser el punto final: la información recabada debe alimentar una decisión de riesgo reproducible, actualizable y vinculada con controles concretos.
3. El perfil transaccional se convierte en pieza central del monitoreo
El Capítulo III Ter exige una política de conocimiento del cliente que abarque el seguimiento de operaciones y la determinación de un perfil transaccional. Este perfil deberá considerar, al menos, el monto, número y frecuencia de las operaciones, así como el origen y destino de los recursos.
Durante los primeros seis meses, el perfil podrá construirse con la información suministrada por el cliente. Posteriormente deberá contrastarse con su comportamiento real y revisarse al menos semestralmente.
Las organizaciones deberán implementar alertas que detecten:
- operaciones que se aparten del perfil esperado;
- cambios significativos en el comportamiento;
- operaciones de clientes de alto riesgo;
- operaciones relacionadas con PEP;
- vínculos con jurisdicciones de riesgo; y
- patrones relevantes de uso de efectivo o metales preciosos.
Cuando el grado de riesgo sea alto, será necesario aplicar medidas reforzadas, obtener información adicional y contar con aprobación directiva para iniciar o continuar la relación de negocios en los supuestos previstos por las reglas.
La consecuencia es clara: conservar documentos ya no será suficiente si la organización no puede demostrar cómo utiliza esos datos para detectar comportamientos inusuales y decidir cuándo escalar, limitar o terminar una relación.
4. Beneficiario controlador: identificación, trazabilidad y evidencia
El nuevo Capítulo III Quinquies desarrolla la obligación de identificar al beneficiario controlador. El Manual de Políticas Internas deberá establecer procedimientos para determinar a la persona física o grupo de personas físicas que obtiene el beneficio final o ejerce control efectivo.
La revisión no puede limitarse a solicitar una declaración y archivarla. El sujeto obligado deberá establecer criterios para analizar estructuras corporativas, cadenas de propiedad, fideicomisos y otras figuras jurídicas, además de documentar las medidas adoptadas para llegar hasta la persona física que ocupa la posición de control final.
Las excepciones previstas para determinados tipos de clientes no eliminan la necesidad de justificar por qué resultan aplicables. En una revisión, la cuestión determinante será si el expediente permite reconstruir la lógica seguida y verificar la identidad del beneficiario controlador con información fidedigna.
5. PEP: una lista oficial y controles diferenciados
El Acuerdo desarrolla un régimen específico para Personas Políticamente Expuestas. Las autoridades y organismos públicos deberán remitir información para integrar una lista nacional, que podrá ser consultada por quienes realizan Actividades Vulnerables y por entidades financieras.
La consulta de una lista, sin embargo, representa solo el primer nivel del control. El modelo deberá considerar el riesgo particular de la persona, su función, nivel de responsabilidad, ingresos conocidos, comportamiento transaccional y, cuando corresponda, vínculos familiares o cercanos previstos en la regulación.
Para PEP extranjeras, la clasificación de alto riesgo será obligatoria. Para PEP nacionales, la intensidad de las medidas dependerá de la evaluación, pero el sujeto obligado deberá disponer de factores específicos y evidencia suficiente para sustentar su decisión.
6. Manual de políticas internas: un documento vivo, no una plantilla
El Manual de Políticas Internas se convierte en el eje documental del programa. Quienes se den de alta y registro deberán contar con él dentro de los noventa días naturales correspondientes. Para sujetos ya registrados, el Manual actualizado con la metodología de riesgo deberá estar disponible a partir del 1 de marzo de 2027.
El contenido mínimo incluye, entre otros elementos:
- metodología de evaluación institucional de riesgos;
- modelo de clasificación individual de clientes;
- políticas de identificación y conocimiento del cliente;
- procedimientos sobre beneficiario controlador y PEP;
- criterios de alertamiento, escalamiento y debida diligencia reforzada;
- reglas para presentación de avisos e informes;
- conservación de información;
- capacitación y selección de personal;
- funciones del representante encargado de cumplimiento;
- mecanismos automatizados; y
- auditoría y seguimiento de acciones correctivas.
El riesgo más frecuente será tratar el Manual como un documento jurídico independiente de los procesos reales. Bajo las nuevas reglas, la metodología, los sistemas, los expedientes, las alertas y las decisiones deberán contar una misma historia.
7. Capacitación y selección de personal adquieren trazabilidad
El programa de capacitación deberá cubrir las obligaciones aplicables, los riesgos propios de la actividad, las señales de alerta y los procedimientos internos. También deberá conservarse evidencia física o electrónica de su ejecución y de las evaluaciones realizadas.
El primer periodo anual obligatorio abarcará del 1 de enero al 31 de diciembre de 2027. Los nuevos procedimientos de selección de personal serán aplicables a contrataciones realizadas a partir del 1 de marzo de 2027.
Esto obliga a coordinar cumplimiento, recursos humanos y operación. Una política sin registros de asistencia, contenidos, evaluaciones y seguimiento difícilmente demostrará efectividad.
8. Los mecanismos automatizados ya no son opcionales
El artículo 41 exige mecanismos automatizados razonablemente diseñados para las características y el volumen de la operación. La definición es tecnológicamente neutral: puede abarcar sistemas especializados, bases de datos, hojas de cálculo u otros procesos automatizados, siempre que cumplan las funciones regulatorias y sean verificables.
Los mecanismos deberán permitir, entre otras funciones:
- integrar y consultar información de clientes y operaciones;
- generar y administrar alertas;
- apoyar la clasificación de riesgo;
- conservar históricos del grado de riesgo y del perfil transaccional;
- identificar clientes de alto riesgo, PEP y coincidencias con listas; y
- monitorear operaciones relevantes, incluido el uso de efectivo y metales preciosos.
La fecha límite para contar con estos mecanismos es el 1 de junio de 2027, y deberán contener la información de los actos u operaciones realizados a partir de esa fecha.
9. Auditoría anual y responsabilidad de corregir
El nuevo Capítulo XIV establece una revisión anual sobre la efectividad del cumplimiento. El resultado deberá presentarse al consejo de administración, administrador único, dirección general, órgano equivalente o directamente a la persona física que realiza la Actividad Vulnerable.
Para sujetos con riesgo bajo o medio, la revisión podrá ser realizada por auditoría o control interno independiente del representante encargado de cumplimiento. Cuando el riesgo institucional sea alto, o cuando así se decida, deberá intervenir una persona auditora externa independiente que cumpla requisitos de experiencia, titulación y certificación.
El dictamen tendrá que evaluar cada obligación y asignar uno de cinco resultados: cumple, cumple mayoritariamente, cumple parcialmente, no cumple o no aplica. Además, deberá incluir hallazgos, responsables, plazos, acciones correctivas, recomendaciones y una proyección económica de las multas potenciales si las deficiencias no son atendidas.
La revisión deberá completarse durante los primeros tres meses posteriores al cierre del año auditado, con entrega a más tardar el último día hábil de marzo. El primer periodo obligatorio abarcará del 1 de enero al 31 de diciembre de 2028, de modo que el primer dictamen se entregaría en marzo de 2029.
10. Calendario de implementación
| Fecha | Obligación principal |
|---|---|
| 30 de noviembre de 2026 | Entrada en vigor general del Acuerdo 115/2026. |
| 1 de enero de 2027 | Inicio del primer periodo anual de capacitación. |
| 1 de marzo de 2027 | Evaluación institucional de riesgos disponible; Manual actualizado; aplicación de clasificación de clientes, conocimiento del cliente y beneficiario controlador a operaciones realizadas desde esta fecha; nuevos procedimientos de selección de personal. |
| 1 de junio de 2027 | Fecha límite para contar con mecanismos automatizados, con información de operaciones desde esa fecha. |
| 30 de agosto de 2027 | Fecha resultante del plazo de nueve meses para habilitar la consulta prevista sobre PEP nacionales. |
| 1 de enero de 2028 | Inicio del primer periodo anual obligatorio de auditoría. |
| 31 de diciembre de 2028 | Cierre del primer periodo de auditoría. |
| Marzo de 2029 | Entrega del primer dictamen anual, a más tardar el último día hábil del mes. |
Algunos avisos especiales dependerán de la entrada en vigor de resoluciones posteriores que modifiquen los formatos oficiales. Por ello, el calendario debe mantenerse bajo seguimiento regulatorio y no tratarse como una lista cerrada.
Qué deberían hacer ahora quienes realizan Actividades Vulnerables
Una implementación defendible puede organizarse en seis frentes:
- Realizar un diagnóstico de brechas. Comparar políticas, expedientes, sistemas y prácticas actuales contra cada obligación nueva.
- Preparar los datos de 2026. Normalizar información de clientes, operaciones, montos, canales, geografías y alertas para alimentar la primera evaluación de riesgos.
- Diseñar la metodología. Definir factores, indicadores, escalas, ponderaciones, mitigantes y criterios de riesgo residual.
- Rediseñar el ciclo de vida del cliente. Integrar identificación, beneficiario controlador, PEP, grado de riesgo, perfil transaccional, revisión periódica y salida de la relación.
- Configurar evidencia y trazabilidad. Cada alerta, excepción, aprobación y cambio de riesgo debe dejar un registro verificable.
- Construir un plan por fecha y responsable. Las obligaciones dependen unas de otras: el Manual debe reflejar la metodología, la metodología alimenta la segmentación y la segmentación determina el monitoreo y la auditoría.
Conclusión
El Acuerdo 115/2026 representa una ampliación material del estándar AML para las Actividades Vulnerables en México. Su rasgo más importante es la interdependencia de las obligaciones: los datos del cliente alimentan el modelo de riesgo; el modelo determina el nivel de diligencia; el perfil transaccional alimenta las alertas; las alertas generan decisiones; y la auditoría evalúa si todo el sistema funciona en la práctica.
La pregunta de supervisión dejará de ser únicamente si el sujeto obligado presentó un aviso o conservó una identificación. La cuestión será si puede demostrar, con información consistente y evidencia verificable, que entiende su exposición y adopta controles proporcionales a ella.
Para muchas organizaciones, el reto no estará en redactar nuevas políticas, sino en conectar gobierno, datos, operación y tecnología antes de que comiencen a vencer los plazos de 2027.
Fuentes normativas
- Secretaría de Hacienda y Crédito Público, Acuerdo 115/2026 por el que se modifican las Reglas de carácter general de la LFPIORPI, Diario Oficial de la Federación, 7 de agosto de 2026: Consultar en el DOF
- Decreto por el que se reforman y adicionan diversas disposiciones de la LFPIORPI, Diario Oficial de la Federación, 16 de julio de 2025: Consultar en el DOF
- Decreto por el que se reforman, adicionan y derogan diversas disposiciones del Reglamento de la LFPIORPI, Diario Oficial de la Federación, 27 de marzo de 2026: Consultar en el DOF
© 2026 Marino A. Marrero B. — Todos los derechos reservados. Este análisis tiene fines informativos. No constituye asesoría legal ni regulatoria.