La
prevención de lavado de dinero en México está a punto de experimentar una de
sus transformaciones más profundas y exigentes. Con la reciente emisión del Acuerdo
115/2026, la Secretaría de Hacienda y Crédito Público (SHCP) ha rediseñado
las Reglas de Carácter General de la Ley Federal para la Prevención e
Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI),
marcando una nueva hoja de ruta para la seguridad financiera del país.
Este
cambio normativo representa el fin de una era. El cumplimiento (compliance) ya
no puede ser visto como un simple ejercicio de "llenado de formatos"
o una carga administrativa menor. A partir del 30 de noviembre de 2026,
fecha oficial de entrada en vigor, las empresas y profesionales que realizan
Actividades Vulnerables deberán elevar su función a un nivel estratégico de
gestión de riesgos. El modelo transita de un cumplimiento estático a una
vigilancia dinámica y proactiva.
El
problema para muchas organizaciones es que sus actuales manuales son
estructuras rígidas que no resistirán el nuevo escrutinio. La autoridad ahora
exige que cada sujeto obligado demuestre un conocimiento real de sus propias
vulnerabilidades y de la identidad definitiva de quienes operan en su
ecosistema. No se trata solo de cumplir con la ley, sino de blindar la
operación frente a un entorno regulatorio que no perdonará la inacción.
A
continuación, analizamos los cinco pilares fundamentales que todo oficial de
cumplimiento y dueño de negocio debe dominar antes de que el reloj marque el
inicio de esta nueva etapa.
1. El
Enfoque Basado en Riesgo (EBR) ya no es opcional
La
adición del Capítulo II Quáter introduce la obligación imperativa de
diseñar e implementar una metodología de evaluación de Riesgos. Lo que antes
era una sugerencia de mejores prácticas, ahora es un mandato legal detallado en
el Artículo 10 Septies. Las entidades deben identificar, analizar y
mitigar sus riesgos considerando no solo el tipo de cliente y las zonas
geográficas, sino también —y de manera crucial— los "canales de
envío o distribución" (Art. 10 Septies 1, I, d).
Este
cambio traslada la carga de la prueba al sujeto obligado. Ya no basta con
seguir una receta general de la autoridad; ahora, cada negocio es responsable
de probar que entiende sus debilidades específicas y que ha implementado
"Mitigantes" proporcionales. Esta metodología debe estar plasmada en
el Manual de Políticas Internas y considerar la Evaluación Nacional de
Riesgos actualizada por la UIF.
"La Secretaría en el ejercicio de sus facultades previstas en la Ley, privilegiará aplicar un enfoque basado en Riesgo." (Artículo 10 Septies 6)
2. La
"Vigilancia Digital" y el buzón obligatorio
La
comunicación entre la autoridad (SAT/UIF) y quienes realizan Actividades
Vulnerables se digitaliza de forma agresiva mediante los Artículos 5 y 6.
El Portal en Internet se convierte en el único canal oficial para
notificaciones de requerimientos, citatorios y resoluciones.
Este
modelo impone un rigor operativo sin precedentes que se resume en tres reglas
críticas:
- Consulta obligatoria:
Los sujetos obligados deben revisar el portal al menos una vez cada día
hábil.
- La regla de los tres días:
Una vez enviado un documento digital, el usuario tiene tres días hábiles
para abrirlo.
- Notificación automática:
Independientemente de si el usuario accede o no al documento, la
notificación se tendrá por legalmente realizada al cuarto día hábil.
Ignorar
un mensaje en el portal ya no es una opción; el silencio administrativo o el
descuido técnico tendrán consecuencias legales automáticas y vinculantes a
partir del cuarto día.
3. El
Beneficiario Controlador y la persona física responsable
El
nuevo Capítulo III Quinquies endurece la transparencia corporativa. Para
identificar al Beneficiario Controlador, el Artículo 23 Quinquies
establece una jerarquía de prelación estricta que las empresas deben
documentar:
- Identificar a la persona física que posea,
directa o indirectamente, el 25% o más del capital social o la
composición accionaria.
- Si no hay alguien bajo el criterio
anterior, identificar a quien ejerza el control efectivo mediante la toma
de decisiones estratégicas.
- Como último recurso, identificar al
funcionario administrativo de mayor grado.
Un
cambio operativo inmediato es que el Artículo 10 ahora manda
explícitamente que las personas morales y fideicomisos únicamente podrán
designar como Representante Encargado de Cumplimiento a una persona física.
Si su organización tiene actualmente una estructura distinta, la regularización
de esta figura es una prioridad absoluta.
4.
Activos Virtuales: Trazabilidad total en el ecosistema cripto
El Capítulo
II Bis y los Artículos 24 Bis 3 y 4 eliminan las zonas grises en la
operación con criptomonedas. La regulación ahora separa con claridad dos
funciones:
- Custodia o almacenamiento:
Proveer plataformas que mantengan el control o salvaguarda de activos a
nombre de un cliente.
- Facilitación o intermediación:
Proveer interfaces que conecten operaciones de compra/venta, aun sin tener
el control de los activos.
Para
la autoridad, el anonimato ha terminado. Los informes ahora deben incluir datos
técnicos específicos como la dirección digital, el identificador de la wallet
y el valor en moneda nacional al momento de la operación. La UIF y el SAT ahora
cuentan con el marco legal para exigir la trazabilidad completa de cada activo
virtual que transite por plataformas mexicanas.
5.
Auditoría y capacitación
El
cumplimiento se profesionaliza y se vuelve un proceso cíclico y auditable bajo
los Capítulos XII y XIV. A diferencia de la normativa anterior, los
requisitos se dividen según el nivel de Riesgo y el calendario de
implementación:
- Auditoría Anual Obligatoria:
- Entidades de Riesgo Alto:
Deben contratar obligatoriamente a una persona auditora externa
independiente con certificación vigente de la UIF (Art. 45).
- Entidades de Riesgo Bajo o Medio:
Pueden utilizar su área de auditoría interna, siempre que
sea personal independiente al Representante de Cumplimiento (Art. 44).
- Fecha de inicio:
Aunque la ley entra en vigor antes, el primer periodo oficial de revisión
de auditoría iniciará el 1 de enero de 2028 (Transitorio
Octavo).
- Capacitación Especializada:
- Mandato de cursos al menos una vez al año
para todo el personal involucrado.
- El primer periodo anual de capacitación
obligatoria será del 1 de enero al 31 de diciembre de 2027.
- Selección de Personal:
- Se deben establecer procedimientos que
garanticen la "calidad técnica y honorabilidad".
- Es obligatorio obtener una declaración firmada de cada empleado confirmando que no cuenta con sentencias por delitos patrimoniales (Art. 39 Bis 2).
Conclusión:
El
camino hacia el cumplimiento total tiene fechas críticas que no permiten
postergación. Según los artículos "Transitorios", el primer semestre
de 2027 será el verdadero campo de prueba:
- 1 de marzo de 2027:
Es la fecha límite para que el Manual de Políticas Internas
esté completamente actualizado. Esto incluye no solo la metodología de
Riesgos, sino también los criterios de clasificación de clientes y la
identificación del Beneficiario Controlador.
- 1 de junio de 2027:
Fecha límite para que operen los mecanismos automatizados de
monitoreo y alertas.
La
transición al modelo de 2026 exige que los líderes empresariales dejen de ver
el Manual de Políticas Internas como un libro en el estante y comiencen a
tratarlo como un documento vivo. Aquellas organizaciones que no integren la
Evaluación Nacional de Riesgos en su ADN operativo para marzo de 2027 estarán
navegando a ciegas en un mar regulatorio mucho más profundo y peligroso. ¿Su
metodología actual refleja realmente sus canales de distribución, o es solo un
eco de lo que solía ser el cumplimiento?
