13 / 08 / 26
EL CUMPLIMIENTO PARA LA PREVENCIÓN DE LAVADO DE DINERO SE FORTALECE Y CAMBIA DE ENFOQUE: LA REFORMA A LAS REGLAS DE CARÁCTER GENERAL
CIUDAD DE MÉXICO, MÉXICO, 13 de agosto, 2026 El pasado 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público (la “Secretaría”) publicó en el Diario Oficial de la Federación el Acuerdo 115/2026 (el “Acuerdo”), mediante el cual se modifican, adicionan y derogan diversas disposiciones de las Reglas de Carácter General (las “Reglas”) a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (la “Ley”).
La publicación del Acuerdo constituye un paso relevante para la implementación de las reformas a la Ley, publicadas el 16 de julio de 2025, y al Reglamento de la Ley, publicado el 27 de marzo de 2026, al desarrollar las reglas para el cumplimiento de las obligaciones incorporadas mediante dichas reformas y establecer nuevas obligaciones aplicables a quienes realizan actividades vulnerables en términos de la Ley (“Actividades Vulnerables”).
Más que una actualización normativa, las nuevas Reglas representan un cambio en la forma de gestionar el cumplimiento en materia de Prevención de Lavado de Dinero (“PLD”) para los sujetos obligados que realizan Actividades Vulnerables. El modelo evoluciona de un enfoque documental hacia uno basado en riesgo, conocimiento del cliente, monitoreo automatizado, controles internos y evidencia documental.
PRINCIPALES CAMBIOS
1. Enfoque Basado en Riesgo
Quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología para identificar, analizar, entender, medir y mitigar los riesgos derivados de los actos u operaciones que realizan, de sus Clientes o Usuarios, de sus transacciones y de los canales de envío o distribución. La metodología deberá considerar, entre otros elementos, los actos u operaciones, tipos de Clientes o Usuarios, países y áreas geográficas, transacciones y canales, así como la información aplicable de la Evaluación Nacional de Riesgos de Lavado de Dinero y Financiamiento al Terrorismo.
Adicionalmente, deberán contar con un modelo de evaluación de riesgos para clasificar individualmente a sus Clientes o Usuarios, como mínimo, en tres grados de riesgo: bajo, medio y alto. El grado de riesgo deberá evaluarse al menos cada seis meses y con mayor frecuencia conforme aumente el riesgo del Cliente o Usuario.
Lo anterior implica que el cumplimiento deja de descansar únicamente en expedientes estáticos: los sujetos obligados deberán documentar su metodología, mantener evidencia de su implementación y actualizarla cuando detecten nuevos riesgos, se actualice la Evaluación Nacional de Riesgos de Lavado de Dinero y Financiamiento al Terrorismo o, en todo caso, dentro de los plazos previstos en las Reglas.
2. Manual de Políticas Internas
Las nuevas Reglas establecen la obligación de contar con un Manual de Políticas Internas a los 90 días naturales del alta y registro como Actividad Vulnerable en el Sistema del Portal de Prevención de Lavado de Dinero (el “Portal”). Para quienes ya se encuentren registrados y haya transcurrido dicho plazo, el Manual deberá incorporar la nueva metodología de evaluación de riesgos a partir del 1 de marzo de 2027.
Entre otros aspectos, este Manual deberá contemplar: (i) criterios para la identificación y conocimiento del Cliente o Usuario; (ii) mecanismos de clasificación de riesgo y medidas de debida diligencia acordes con dicho riesgo; (iii) procedimientos para la identificación y seguimiento reforzado de Personas Políticamente Expuestas; (iv) mecanismos para detectar operaciones que se aparten del perfil transaccional; (v) procedimientos para presentar avisos e informes y conservar información; (vi) mecanismos de seguimiento y acumulación de operaciones; (vii) mecanismos para identificar personas incluidas en listas emitidas por autoridades nacionales u organismos internacionales; (viii) funciones y responsabilidades del Representante Encargado de Cumplimiento; (ix) programas de capacitación; (x) mecanismos de control interno, supervisión y auditoría; (xi) medidas de confidencialidad; y (xii) procedimientos para actualizar el propio Manual.
3. Profundidad en el conocimiento del cliente y de su beneficiario controlador
En este mismo sentido, las nuevas Reglas establecen criterios específicos para identificar al Beneficiario Controlador de Clientes o Usuarios que sean personas morales o fideicomisos siguiendo un orden de prelación: (i) la persona física o grupo de personas físicas que directa o indirectamente adquiera, sea titular o posea el 25% o más del capital social; (ii) quien ejerza el control por otros medios y participe en la estrategia, toma de decisiones y dirección de las principales políticas; y, en última instancia, (iii) quien ocupe la posición administrativa de mayor grado o de alta dirección. El procedimiento seguido deberá documentarse y mantenerse actualizado.
Asimismo, se incorporan disposiciones específicas para la identificación y tratamiento de Personas Políticamente Expuestas (“PEP”). Las PEP extranjeras deberán ser consideradas de alto riesgo; respecto de las PEP mexicanas deberán establecerse factores de riesgo adicionales para determinar su grado de riesgo. Además, se prevé la herramienta de consulta “Consulta PEP 2.0” de la página electrónica oficial de la Unidad de Inteligencia Financiera, cuya consulta podrá realizarse nueve meses después de la entrada en vigor del Acuerdo.
En este contexto, los procesos de KYC, integración y actualización de expedientes, deberán alinearse con el nuevo modelo de gestión de riesgos implementado mediante el Acuerdo.
4. Nuevas reglas para la presentación de Avisos e Informes
Las nuevas Reglas precisan los supuestos para la presentación de Avisos e Informes a través del Portal, e incorporan Avisos especiales que deberán enviarse dentro de las 24 horas siguientes a que se actualicen determinados supuestos de sospecha, hechos o indicios relacionados con posibles operaciones con recursos de procedencia ilícita, delitos relacionados o estructuras financieras de organizaciones delictivas (“Avisos 24 Horas”).
Entre los principales supuestos se encuentran: (i) actividades, conductas o comportamientos inusitados identificados a partir de la información y documentación del Cliente o Usuario y de las características de sus operaciones; (ii) hechos o indicios conocidos a través de fuentes públicas o privadas; y (iii) los supuestos relacionados con personas incluidas en los listados previstos por las Reglas. Estos Avisos podrán proceder incluso cuando la operación no alcance el umbral ordinario de Aviso o no llegue a celebrarse, siempre que se cuente con datos que permitan identificar al Cliente o Usuario o a quien intentó realizarla.
5. Capacitación, selección del personal y auditoría de cumplimiento
Se deberá establecer un programa formal de capacitación, al menos anual, dirigido a los órganos de administración, directivos, funcionarios, al Representante Encargado de Cumplimiento y a determinados empleados involucrados en atención al público, identificación o conocimiento del Cliente o Usuario, envío de Avisos o auditoría. Asimismo, deberán establecerse procedimientos de selección para las nuevas contrataciones que permitan procurar la calidad técnica, experiencia y honorabilidad del personal. El primer periodo anual de capacitación comprenderá del 1 de enero al 31 de diciembre de 2027.
También se incorpora una revisión anual de auditoría sobre la efectividad del cumplimiento. Cuando el riesgo del sujeto obligado sea bajo o medio, el dictamen podrá ser emitido por un área de auditoría o control interno independiente del Representante Encargado de Cumplimiento; cuando el riesgo sea alto, o cuando así lo elija el sujeto obligado, la revisión y el dictamen deberán ser realizados por una persona auditora externa independiente que cumpla con los requisitos previstos en las Reglas.
6. Mecanismos Automatizados
Las nuevas Reglas establecen la obligación de implementar mecanismos automatizados razonablemente adecuados al volumen, naturaleza, complejidad y riesgo de las operaciones. Estos mecanismos deberán, entre otras funciones, conservar y actualizar información de los expedientes; consolidar y monitorear operaciones por Cliente o Usuario; identificar desviaciones del perfil transaccional; apoyar la acumulación de operaciones; proveer información para la metodología de riesgos; ejecutar el modelo de evaluación de riesgos; conservar históricos de cambios en riesgo y perfil transaccional por al menos diez años; generar alertas respecto de Clientes o Usuarios de alto riesgo, PEP y personas incluidas en determinados listados; y monitorear el uso de efectivo y metales preciosos.
7. Fideicomisos y otras figuras jurídicas.
Las nuevas Reglas incorporan disposiciones específicas para quienes realicen actividades vulnerables a través de fideicomisos u otras figuras jurídicas.
Se establecen procedimientos para su alta y registro, así como nuevos anexos y requerimientos de información relacionados con sus integrantes o miembros.
FECHAS CLAVE
Aunque la entrada en vigor de las nuevas Reglas será el 30 de noviembre de 2026, algunas obligaciones contarán con plazos específicos de implementación posteriores a dicha fecha. Entre las principales destacan:
- La evaluación con enfoque basado en riesgo deberá estar a disposición de las autoridades competentes, previo requerimiento, a partir del 1 de marzo de 2027. Para quienes ya estén registrados y haya transcurrido el plazo de 90 días naturales previsto para contar con su Manual de Políticas Internas, éste deberá incluir la nueva metodología a partir de esa misma fecha. Asimismo, las reglas sobre clasificación del grado de riesgo, conocimiento del Cliente o Usuario y Beneficiario Controlador serán aplicables a los actos u operaciones realizados a partir del 1 de marzo de 2027.
- Los Avisos a que se refieren los artículos 26 Bis, 26 Bis 1, 26 Bis 2 y 27, segundo párrafo (Avisos 24 Horas), podrán enviarse seis meses después de la entrada en vigor de la Resolución que modifique los formatos oficiales de Avisos e Informes para identificar expresamente estos nuevos tipos de Aviso.
- Los procedimientos de selección de personal deberán ligarse a las nuevas contrataciones realizadas a partir del 1 de marzo de 2027.
- El primer periodo anual de capacitación comprenderá del 1 de enero al 31 de diciembre de 2027.
- El primer periodo de revisión de auditoría comprenderá del 1 de enero al 31 de diciembre de 2028.
- Los mecanismos automatizados deberán estar implementados a más tardar el 1 de junio de 2027 y contener la información de los actos u operaciones realizados a partir de esa fecha.
- La Secretaría deberá implementar los mecanismos tecnológicos necesarios para operar el sistema de notificaciones electrónicas dentro de los 8 meses siguientes a la entrada en vigor del Acuerdo. Una vez operativo, quienes realicen Actividades Vulnerables deberán consultar los medios electrónicos del Portal al menos una vez cada día hábil.
- La consulta de la herramienta “Consulta PEP 2.0” podrá realizarse 9 meses después de la entrada en vigor del Acuerdo.
¿CÓMO PUEDES COMENZAR A CUMPLIR?
Considerando que diversas obligaciones comenzarán a ser exigibles de manera escalonada, recomendamos a nuestros clientes que realizan Actividades Vulnerables no esperar a la entrada en vigor para iniciar su preparación.
En particular sugerimos:
- Diagnosticar. Identificar las áreas de oportunidad existentes entre su modelo actual de cumplimiento y las nuevas obligaciones.
- Actualizar. Revisar y, en su caso, actualizar el manual de políticas internas, procedimientos KYC y expedientes de clientes.
- Implementar una metodología de riesgo. Desarrollar una metodología que permita clasificar, justificar y actualizar el nivel de riesgo de los clientes.
- Fortalecer el monitoreo. Revisar los procesos actuales de seguimiento de operaciones y determinar las herramientas necesarias para atender los nuevos requerimientos.
- Preparar al personal y la auditoría. Diseñar el programa anual de capacitación y comenzar a preparar los mecanismos necesarios para acreditar el cumplimiento y atender futuras revisiones.
La publicación del Acuerdo representa la última pieza regulatoria relevante para aterrizar las obligaciones introducidas en la reforma a la Ley y su reglamento. Las nuevas Reglas implican una transición hacia un modelo de cumplimiento basado en riesgo, conocimiento del cliente, monitoreo, capacitación, automatización y revisión.
En SMPS Legal, S.C. estamos comprometidos a asesorar de forma preventiva y no solo reactiva: revisando el cumplimiento de nuestros clientes en la materia, estructurando correctamente sus operaciones, diseñando manuales de políticas internas para blindar a los clientes y respaldarlos frente a una regulación en materia PLD cada vez más estricta.
En vista de lo anterior, lejos de ser un obstáculo, para nosotros este Acuerdo representa una valiosa oportunidad para fortalecer de manera adecuada las operaciones de nuestros clientes. Vemos este cambio como un paso natural hacia una cultura de cumplimiento más robusta, que bien gestionada no solo reduce riesgos legales y multas, sino que se traduce en confianza y competitividad para cada cliente que cumple con las nuevas especificaciones para el cumplimiento de la normativa prevista por el Acuerdo.
Nuestro equipo se encuentra listo y disponible para apoyarles en la evaluación del impacto de las nuevas disposiciones, diagnóstico de áreas de oportunidad, actualización de políticas y procedimientos, así como en la implementación del plan de cumplimiento necesario, adecuado a cada cliente, para atender los nuevos plazos establecidos por las Reglas.