LFPIORPI: nuevas obligaciones y calendario de cumplimiento para las empresas

La regulación mexicana en materia de prevención de lavado de dinero está entrando en una nueva etapa. Las reformas a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (“LFPIORPI”) y las posteriores modificaciones a su Reglamento y a las Reglas de carácter general han ampliado y desarrollado las exigencias de identificación, documentación, evaluación de riesgos y control para quienes realizan Actividades Vulnerables (“AV”). No obstante, la exigibilidad de diversas obligaciones se encuentra sujeta al calendario escalonado de implementación previsto en las disposiciones transitorias aplicables.

Para las empresas, el reto ya no consiste únicamente en determinar si una operación debe ser objeto de identificación o aviso. El cumplimiento requiere revisar los actos y operaciones que efectivamente realizan, determinar si alguno actualiza una AV, monitorear los umbrales y la acumulación de operaciones, integrar y actualizar los expedientes de clientes o usuarios y beneficiarios controladores, y mantener políticas, procedimientos y controles capaces de acreditar el cumplimiento efectivo de las obligaciones aplicables.

SMPS te resume

• Las empresas deben revisar las actividades, actos y operaciones que efectivamente realizan, directamente o por medio de fideicomisos u otras figuras jurídicas, para determinar si actualizan alguna AV conforme al artículo 17 de la LFPIORPI.
• Los umbrales de identificación, presentación de avisos y restricción al uso de efectivo y metales preciosos son distintos y deben analizarse por separado, de acuerdo con la AV y el acto u operación de que se trate.
• Los actos u operaciones realizados por un mismo cliente o usuario deben ser objeto de seguimiento y, en los supuestos aplicables, acumularse por periodos de hasta seis meses para determinar si alcanzan el umbral de presentación de avisos.
• Las reformas incorporan o refuerzan obligaciones en materia de evaluación con enfoque basado en riesgos, clasificación y conocimiento de clientes o usuarios, personas políticamente expuestas (“PEP”), beneficiario controlador, manual de políticas internas, conservación documental, selección y capacitación del personal, mecanismos automatizados, avisos dentro de las veinticuatro horas y auditoría.
• La implementación de las nuevas disposiciones es escalonada: las Reglas entrarán en vigor, de manera general, el 30 de noviembre de 2026; diversas obligaciones serán exigibles durante 2027, y el primer periodo anual de auditoría corresponderá a 2028, por lo que las empresas deben preparar con anticipación sus procesos, sistemas, documentación y responsables, sin perder de vista las obligaciones que ya se encuentran vigentes.

¿A quién aplica la Ley Antilavado?

La LFPIORPI establece obligaciones para las personas físicas y morales que realizan las AV previstas en su artículo 17, ya sea directamente o por medio de fideicomisos u otras figuras jurídicas y de acuerdo con las características y umbrales aplicables a cada supuesto. Entre ellas se encuentran determinadas operaciones relacionadas con inmuebles, préstamos no financieros, vehículos, arrendamiento, donativos, servicios profesionales, fe pública, comercio exterior y activos virtuales, entre otras.

La determinación no debe realizarse únicamente a partir del giro u objeto social. Una compañía cuya actividad principal no sea considerada vulnerable puede realizar operaciones secundarias, ocasionales o intragrupo que sí queden sujetas a la LFPIORPI. Por ello, el primer paso es mapear las operaciones reales de la organización, incluyendo aquellas realizadas por medio de fideicomisos u otras figuras jurídicas, y contrastarlas con los supuestos legales aplicables, así como identificar la entidad específica que realiza cada AV y, por tanto, debe cumplir las obligaciones correspondientes.

Adicionalmente, las sociedades mercantiles deben identificar y conservar información adecuada, precisa y actualizada sobre sus beneficiarios controladores, en términos del Capítulo IV Bis de la LFPIORPI, aun cuando no realicen alguna AV.

Tres conceptos que las empresas no deben confundir

Uno de los principales riesgos de cumplimiento consiste en tratar como equivalentes los umbrales de identificación, aviso y restricción al uso de efectivo. Son obligaciones distintas e independientes, por lo que el cumplimiento de una no sustituye el de las demás:

Identificación. Determina cuándo debe integrarse y, en su caso, actualizarse la información y documentación del cliente o usuario y de su beneficiario controlador.

Aviso. Establece cuándo una operación debe ser objeto de un aviso ante la autoridad, ya sea individualmente o como resultado de la acumulación correspondiente.

Restricción al efectivo. Prohíbe pagar, liquidar o aceptar el pago o liquidación de determinados actos u operaciones mediante monedas, billetes o metales preciosos cuando su valor sea igual o superior a los montos establecidos en el artículo 32 de la LFPIORPI.

Una operación realizada mediante transferencia bancaria, por ejemplo, puede no actualizar la prohibición relativa al uso de efectivo y, al mismo tiempo, estar sujeta a obligaciones de identificación o aviso. Esta distinción debe trasladarse a los procesos internos, las políticas y los controles, así como a los sistemas utilizados por la empresa.

Seguimiento de operaciones: el riesgo de analizarlas aisladamente

La LFPIORPI y sus Reglas contemplan supuestos en los que los actos u operaciones realizados por un mismo cliente o usuario deben ser objeto de seguimiento y acumulación por periodos de hasta seis meses, contados a partir del primer acto u operación, para determinar si, en conjunto, alcanzan el umbral aplicable para la presentación de un aviso. Esta obligación no opera de manera uniforme para todas las AV, por lo que deben revisarse los supuestos y excepciones aplicables a cada una.

Un modelo basado únicamente en revisar cada operación de forma aislada puede resultar insuficiente. El control debe permitir identificar al cliente o usuario, relacionar sus operaciones y detectar cuándo la acumulación genera la obligación de presentar un aviso. A más tardar el 1 de junio de 2027, esta funcionalidad deberá incorporarse a los mecanismos automatizados previstos en las nuevas Reglas respecto de los actos u operaciones realizados a partir de esa fecha.

Qué cambia en el modelo de cumplimiento

Beneficiario controlador

La reforma modificó aspectos relevantes del régimen de beneficiario controlador, incluyendo el supuesto de titularidad de derechos que permitan ejercer, directa o indirectamente, el voto respecto de más del 25% del capital social, así como otros criterios de control efectivo. Para quienes realizan AV, esto exige revisar si los procedimientos actuales permiten identificar adecuadamente a las personas físicas quienes realizan AV, esto exige revisar si los procedimientos actuales permiten identificar adecuadamente a las personas físicas detrás de las estructuras corporativas de clientes y contrapartes que, en última instancia, obtienen el beneficio o ejercen el control efectivo de sus clientes o usuarios, incluyendo personas morales, fideicomisos y otras figuras jurídicas. El análisis debe atender los criterios legales aplicables y documentar el procedimiento seguido, sin limitarse al representante legal o al accionista inmediato. Las disposiciones específicas de las nuevas Reglas en materia de beneficiario controlador serán aplicables a los actos u operaciones realizados a partir del 1 de marzo de 2027.

Conservación documental

La ampliación del periodo general de conservación de la información y documentación que sirve de soporte a las AV de cinco a diez años tiene consecuencias operativas que van más allá del archivo. Los expedientes deben permitir reconstruir individualmente los actos u operaciones y relacionarlos con los clientes o usuarios, contratos, comprobantes, correspondencia comercial, análisis realizados, beneficiarios controladores y avisos presentados. Esto hace recomendable revisar las políticas internas de gestión documental y los sistemas en los que se conserva la evidencia de cumplimiento. Como regla general, el plazo se computa a partir de la fecha de realización de la AV, sin perjuicio de las excepciones previstas en la propia LFPIORPI y de los plazos establecidos en otros ordenamientos aplicables.

Evaluación de riesgos, sistemas y auditoría

La reforma establece un modelo más estructurado, en el que adquieren especial relevancia la evaluación con enfoque basado en riesgos, el manual de políticas internas, la clasificación y el conocimiento de clientes o usuarios, la selección del personal, la capacitación, los mecanismos automatizados de monitoreo y las auditorías anuales. El cumplimiento deja de concentrarse únicamente en integrar expedientes y presentar avisos y exige demostrar que la organización cuenta con controles proporcionales a su exposición, eficaces, documentados y alineados con su operación real.

La implementación será escalonada: la evaluación de riesgos, la actualización del manual de políticas internas y las nuevas disposiciones sobre clasificación, conocimiento de clientes o usuarios y beneficiario controlador serán exigibles conforme a los términos aplicables a partir del 1 de marzo de 2027; los mecanismos automatizados deberán estar operando a más tardar el 1 de junio de 2027; y el primer periodo anual sujeto a auditoría comprenderá del 1 de enero al 31 de diciembre de 2028.

Calendario regulatorio: 2026–2028

Las nuevas obligaciones tienen fechas de implementación diferenciadas. El calendario empresarial debe identificar qué cambia, cuándo resulta exigible y qué área es responsable de su implementación, distinguiendo las fechas de aplicación general de aquellas que corresponden únicamente a determinadas AV o tipos de sujetos obligados.

Fecha	Implicación
30 de noviembre de 2026	Entrada en vigor general del Acuerdo 115/2026, sujeto a las excepciones previstas en sus transitorios.
Del 1 de enero al 31 de diciembre de 2027	Primer periodo anual de capacitación conforme a las nuevas Reglas.
1 de febrero de 2027	Entrada en vigor general del nuevo formato oficial de alta y registro. Quienes realicen AV por medio de fideicomisos u otras figuras jurídicas, así como determinados participantes en operaciones de comercio exterior que se hubieran registrado previamente, deberán revisar si les corresponde realizar su baja y alta inmediata conforme al nuevo formato.
1 de marzo de 2027	La evaluación con enfoque basado en riesgos deberá estar disponible para la autoridad previo requerimiento; el manual de políticas internas deberá incorporar la metodología correspondiente; comenzarán a aplicarse las disposiciones sobre clasificación y conocimiento de clientes o usuarios y beneficiario controlador respecto de los actos u operaciones realizados a partir de esta fecha; y los procedimientos de selección de personal serán aplicables a las nuevas contrataciones.
1 de junio de 2027	Fecha límite para contar con los mecanismos automatizados previstos en las nuevas Reglas, los cuales deberán incorporar la información de los actos u operaciones realizados a partir de esta fecha. También entrarán en vigor los nuevos formatos oficiales para la presentación de avisos e informes, incluidos los avisos de 24 horas, y el formato de alta aplicable a las personas facilitadoras públicas y privadas.
30 de agosto de 2027	Fecha a partir de la cual podrá realizarse la consulta electrónica de PEP prevista en las nuevas reglas.
Del 1 de enero al 31 de diciembre de 2028	Primer periodo anual sujeto a la auditoría de cumplimiento prevista en las nuevas reglas.

Sanciones: el costo de un cumplimiento insuficiente

La LFPIORPI contempla sanciones económicas relevantes por incumplimientos relacionados, entre otros aspectos, con atención de requerimientos, el cumplimiento de las obligaciones previstas en su artículo 18, la presentación oportuna y completa de avisos, las obligaciones en materia de beneficiario controlador y la participación en actos u operaciones que contravengan las restricciones al uso de efectivo y metales preciosos. Dependiendo de la infracción, las multas pueden ir de 200 a 65,000 veces el valor diario de la UMA. En los casos de omisión de avisos o participación en operaciones prohibidas, la sanción puede ascender de 10,000 a 65,000 veces el valor diario de la UMA o del 10% al 100% del valor del acto u operación, aplicándose la cantidad que resulte mayor.

En determinados supuestos, las multas pueden calcularse en UMA o como porcentaje del valor de la operación.

El riesgo empresarial, sin embargo, no se limita a la sanción económica. Una deficiencia en PLD puede generar contingencias regulatorias, suspensiones temporales de operaciones con determinados clientes o usuarios y, en ciertos sectores, afectaciones a permisos, autorizaciones o habilitaciones, además de dificultades durante procesos de due diligence, cuestionamientos de inversionistas o financiadores y problemas reputacionales.

Debe distinguirse, además, entre una infracción administrativa a la LFPIORPI; los delitos específicos previstos en la propia LFPIORPI, relacionados, entre otros supuestos, con la incorporación de información falsa, alterada o ilegible en avisos o requerimientos; y el delito de operaciones con recursos de procedencia ilícita previsto en el artículo 400 Bis del Código Penal Federal, cuya configuración exige acreditar sus elementos propios. Por tanto, un incumplimiento administrativo no implica, por sí solo, la comisión del delito de lavado de dinero.

PLD en inversiones, financiamientos y M&A

El cumplimiento de la LFPIORPI también puede convertirse en un elemento relevante en transacciones corporativas. En una adquisición o inversión, una revisión de PLD puede revelar AV no identificadas, omisiones en el alta y registro, avisos omitidos o extemporáneos, expedientes incompletos, deficiencias en la identificación de clientes o usuarios y beneficiarios controladores, operaciones realizadas en contravención de las restricciones al uso de efectivo u otros incumplimientos históricos que deban considerarse antes del cierre. La revisión también debe determinar la posibilidad de regularización y cuantificar la exposición económica derivada de las multas potencialmente aplicables.

Estos hallazgos pueden incidir en la due diligence, el precio y la estructura de la operación, así como en las declaraciones y garantías, indemnizaciones, condiciones de cierre, retenciones, obligaciones previas o posteriores al cierre y medidas de regularización. En financiamientos, operaciones inmobiliarias y estructuras de inversión, el análisis debe coordinarse además con los procesos de identificación de clientes o usuarios y, en su caso, de las contrapartes, origen y destino de recursos, beneficiarios controladores y estructura corporativa. Asimismo, debe analizarse si la propia operación o alguno de sus componentes actualiza una AV para cualquiera de las personas o entidades participantes, con independencia del cumplimiento histórico de la empresa objeto de la transacción.

¿Qué deberían revisar las empresas ahora?

• Mapear las operaciones por entidad legal y determinar cuáles pueden constituir AV, incluyendo las realizadas de forma secundaria, intragrupo o por medio de fideicomisos u otras figuras jurídicas.
• Verificar que el alta y registro de cada AV, sus actualizaciones y la designación de la persona representante encargada de cumplimiento sean correctos y se encuentren vigentes.
• Actualizar la matriz de umbrales de identificación, aviso y prohibiciones al uso de efectivo y metales preciosos, incluyendo las reglas de acumulación aplicables a cada AV.
• Revisar los criterios de beneficiario controlador y los expedientes existentes tanto respecto de los clientes o usuarios como de la propia sociedad mercantil, conforme al régimen aplicable en cada caso.
• Revisar los procedimientos de identificación, clasificación por grado de riesgo, conocimiento y monitoreo de clientes o usuarios, incluyendo los controles aplicables a PEP y clientes de alto riesgo.
• Actualizar las políticas de conservación documental conforme a los nuevos plazos, asegurando que la información permita reconstruir cada acto u operación y acreditar el cumplimiento.
• Revisar el manual de políticas internas y los procedimientos para alinearlos con la operación real, la metodología de evaluación de riesgos y las nuevas obligaciones regulatorias.
• Preparar la evaluación de riesgos, los procesos de selección de personal, la capacitación, los mecanismos automatizados y la auditoría conforme al calendario regulatorio aplicable, asignando responsables y fechas de implementación.
• Establecer procedimientos para detectar, analizar, escalar y documentar operaciones que puedan requerir la presentación de avisos dentro de las 24 horas.
• Realizar un diagnóstico histórico para identificar posibles incumplimientos, cuantificar las multas potencialmente aplicables y evaluar, cuando proceda, medidas de regularización o remediación antes del ejercicio de facultades de verificación.

No todas estas obligaciones serán exigibles en la misma fecha; sin embargo, su implementación requiere coordinación previa entre las áreas legal, de cumplimiento, operaciones, tecnología, recursos humanos y auditoría.

Un cumplimiento que debe poder demostrarse

La evolución del régimen mexicano de PLD exige pasar de un cumplimiento principalmente documental a un modelo capaz de identificar, monitorear y demostrar cómo se gestionan los riesgos propios de las AV, los clientes o usuarios, las operaciones, los canales y las zonas geográficas involucradas. No basta con integrar expedientes o presentar Avisos: las empresas deben contar con evidencia objetiva de que sus políticas, procedimientos y controles funcionan de manera efectiva y son congruentes con su nivel de exposición.

En SMPS Legal asesoramos a empresas nacionales y multinacionales en la identificación de AV y obligaciones aplicables; la elaboración de diagnósticos de cumplimiento y cuantificación de contingencias; la preparación de opiniones legales; la evaluación con enfoque basado en riesgos; evaluación de riesgos, revisión de expedientes, formatos de identificación y beneficiarios controladores, presentación de avisos, la revisión de mecanismos automatizados; la capacitación; las auditorías y la preparación y actualización de políticas, manuales y controles internos, así como en la atención y regularización de posibles incumplimientos y requerimientos de la autoridad.

Nuestro enfoque busca traducir las obligaciones regulatorias en acciones concretas y controles aplicables a la operación real de cada empresa, con el objetivo de identificar y corregir brechas antes de que se conviertan en sanciones, afecten una transacción o comprometan la continuidad del negocio. Un cumplimiento preventivo fortalece la posición de la empresa frente a autoridades, clientes, inversionistas y financiadores, y brinda mayor certeza jurídica para la toma de decisiones.