Prevención de lavado de dinero en México: qué deben revisar las empresas

La prevención de lavado de dinero (PLD) ha dejado de ser un asunto exclusivo del sector financiero. Para empresas, resulta indispensable revisar las actividades que efectivamente realizan y determinar si alguna puede actualizar una actividad vulnerable (AV), ya sea directamente o por medio de fideicomisos u otras figuras jurídicas, aun cuando no forme parte de su actividad principal o no resulte evidente de su objeto social. Esta revisión cobra especial relevancia para aquellas que operan con estructuras corporativas complejas o participan en transacciones de alto valor. La identificación oportuna de las obligaciones aplicables y su adecuado cumplimiento puede incidir directamente en la viabilidad de operaciones, inversiones y transacciones corporativas, el resultado de auditorías y la continuidad del negocio.

En México, la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) establece obligaciones para quienes realizan AV’s de identificación y conocimiento de clientes o usuarios y de sus beneficiarios controladores, conservación de información, presentación de avisos e informes, alta y registro, así como atención de visitas de verificación. Las reformas recientes han reforzado el enfoque basado en riesgos, la identificación del beneficiario controlador y la atención a personas políticamente expuestas (PEP) y al financiamiento al terrorismo, e incorporó obligaciones relacionadas con la elaboración de un Manual de Políticas Internas, capacitación anual, mecanismos automatizados de monitoreo y auditorías periódicas, en los términos y plazos previstos por la normativa secundaria aplicable.

SMPS te resume

• Quienes realizan AV deben identificar y conocer directamente a sus clientes o usuarios, verificar su identidad, integrar y actualizar sus expedientes, conocer la naturaleza y el propósito de la relación de negocios e identificar, en su caso, al beneficiario controlador.
• La LFPIORPI impone obligaciones específicas a quienes realizan AV’s; los requisitos y umbrales dependen de la actividad y del valor de cada operación. La sujeción a este régimen se determina a partir de los actos u operaciones efectivamente realizados, incluso por medio de fideicomisos u otras figuras jurídicas, por lo que una empresa puede realizar una AV aunque ésta no constituya su giro principal. Asimismo, determinadas operaciones deben acumularse durante los periodos establecidos por la ley aplicable para establecer si se alcanza el umbral de aviso.
• Las reformas ampliaron y precisaron el alcance de las AV, entre otros aspectos, al incorporar la recepción de recursos destinados a desarrollos inmobiliarios para su venta o renta, incluir determinados actos realizados por personas facilitadoras de mecanismos alternativos de solución de controversias y fortalecer las obligaciones aplicables a las operaciones con activos virtuales.
• El nuevo modelo de cumplimiento incorpora una evaluación con enfoque basado en riesgos, la clasificación de clientes o usuarios conforme a su grado de riesgo, un Manual de Políticas Internas, procedimientos de selección y capacitación anual del personal, mecanismos automatizados de monitoreo, seguimiento reforzado de PEP y clientes de alto riesgo, así como auditorías anuales de cumplimiento.
• También se refuerzan las obligaciones de alta y actualización en el padrón, integración y conservación de expedientes y registros, por un plazo mínimo de diez años, presentación de avisos e informes y, en los supuestos previstos por la normativa, presentación de avisos dentro de las veinticuatro horas siguientes a la detección de sospechas, hechos o indicios, aun cuando la operación no se haya concretado.
• En materia de beneficiario controlador, la LFPIORPI establece obligaciones adicionales para las sociedades mercantiles, incluyendo identificarlo, conservar la información que sustente dicha identificación, atender los requerimientos de las autoridades y registrar la información correspondiente en el sistema electrónico de la Secretaría de Economía.
• El incumplimiento puede generar multas, requerimientos y contingencias que afecten auditorías, inversiones y operaciones corporativas, además de restricciones al uso de efectivo, la suspensión temporal de operaciones con determinados clientes o usuarios y, en ciertos casos, consecuencias sobre permisos o autorizaciones.
• La implementación de las nuevas obligaciones es escalonada: las Reglas entrarán en vigor, en términos generales, el 30 de noviembre de 2026; diversas obligaciones relacionadas con el enfoque basado en riesgos, el conocimiento y clasificación de clientes, el beneficiario controlador y la capacitación serán exigibles durante 2027; y el primer periodo anual sujeto a auditoría comenzará el 1 de enero de 2028.

¿Qué es la prevención de lavado de dinero?

La PLD reúne políticas, procedimientos y controles destinados a prevenir y detectar actos u operaciones, así como a mitigar el riesgo de que sean utilizados para ocultar el origen o destino de recursos de procedencia ilícita o la identidad de su beneficiario controlado. En la práctica, esto exige analizar no solo quién participa en una operación, sino también cuál es su propósito económico y si la transacción es consistente con el perfil, actividad económica y estructura corporativa del cliente o usuario, así como, cuando resulte aplicable, con el origen y destino de los recursos.

El objetivo no es revisar todas las operaciones con la misma intensidad, sino aplicar controles proporcionales al nivel de riesgo, sin dejar de observar las medidas mínimas aplicables. Un sistema de cumplimiento sólido identifica, analiza, comprende y mitiga los riesgos asociados con la actividad, los clientes o usuarios, las operaciones y los canales utilizados, y refuerza sus controles cuando identifica una mayor exposición. Esta lógica resulta especialmente relevante en operaciones con estructuras societarias complejas, jurisdicciones de mayor riesgo, volúmenes o patrones transaccionales inusuales, PEP, clientes o usuarios de alto riesgo o terceros cuya función económica no sea clara.

Los cuatro pilares operativos de un programa de PLD 

Aunque estos pilares no constituyen una clasificación prevista expresamente en la normativa, permiten agrupar las principales obligaciones que integran un programa de PLD. Para quienes realizan AV, su implementación deberá atender los plazos y condiciones establecidos en la normativa aplicable.

1. Enfoque basado en riesgos y controles internos

Las empresas deben considerar que el programa debe partir de una metodología que permita identificar, analizar, comprender, medir y mitigar los riesgos asociados con las AV, los clientes o usuarios, las operaciones y los canales utilizados. A partir de este análisis, deben clasificarse los clientes o usuarios conforme a su grado de riesgo y aplicarse medidas proporcionales, documentadas en el Manual de Políticas Internas y reforzadas cuando exista una mayor exposición.

2. Identificación, conocimiento del cliente y beneficiario controlador

Quienes realizan AV deben identificar y conocer directamente a sus clientes o usuarios, verificar su identidad, integrar y mantener actualizados sus expedientes y entender la naturaleza y el propósito de la relación de negocios. Asimismo, deben identificar al beneficiario controlador conforme a los criterios y al orden de prelación previstos en la normativa, documentando el procedimiento seguido. Este análisis es particularmente relevante en grupos corporativos, family offices, fideicomisos y operaciones transfronterizas.

3. Monitoreo, alertas y presentación de avisos

Las operaciones deben contrastarse con el comportamiento esperado del cliente o usuario y con su perfil transaccional. Transferencias sin justificación comercial, movimientos fragmentados o uso de terceros sin una función económica clara, así como desviaciones en montos, frecuencia, formas de pago u origen y destino de los recursos, pueden requerir una revisión adicional y la activación de alertas, medidas de seguimiento reforzado y, cuando corresponda, la presentación de los avisos previstos en la normativa, incluidos los avisos que deban presentarse dentro de las veinticuatro horas siguientes a la detección de determinados supuestos de sospecha, hechos o indicios.

4. Gobierno del programa, capacitación, auditoría y evidencia

Los controles solo son efectivos si el personal sabe aplicarlos y la organización puede demostrarlo. Por ello, el programa debe definir responsabilidades internas, procedimientos de selección de personal, capacitación anual, mecanismos automatizados acordes con la naturaleza, volumen y complejidad de las operaciones y una revisión anual de auditoría. La conservación de expedientes, registros, alertas, análisis y demás evidencia permite acreditar la operación efectiva de los controles y detectar incumplimientos antes de una visita de verificación o requerimiento de la autoridad.

En materia de beneficiario controlador, también deben considerarse las facultades de verificación en materia de beneficiario controlador, ya que la autoridad competente, puede requerir información para verificar el cumplimiento de estas obligaciones.

Las nuevas reglas de cumplimiento para la PLD desarrollan el enfoque basado en riesgos, el conocimiento del cliente o usuario, la identificación del beneficiario controlador, el monitoreo automatizado, la capacitación, la auditoria y la necesidad de controles   internos documentados cuya implementación está sujeta al calendario previsto en las propias reglas a que se refiere la LFPIORPI.

¿Cómo se identifica a un cliente o usuario y una operación de mayor riesgo?

No existe una sola señal que determine por sí misma la existencia de lavado de dinero. El análisis debe considerar de manera integral el perfil del cliente o usuario, la naturaleza y el propósito de la relación de negocios, las características de la operación, las zonas geográficas involucradas y los canales utilizados. La presencia de uno o varios factores de riesgo no acredita, por sí misma, la realización de una operación con recursos de procedencia ilícita ni genera automáticamente la obligación de presentar un aviso; sin embargo, puede justificar la aplicación de medidas de debida diligencia reforzada, mayor monitoreo y documentación adicional. Entre los factores que suelen justificar una revisión reforzada se encuentran:

• estructuras corporativas innecesariamente complejas o sin justificación económica clara, incluyendo aquellas que dificulten identificar al beneficiario controlador;
• movimientos de recursos que no corresponden con el perfil transaccional, la actividad económica o la capacidad financiera del cliente o usuario;
• fragmentación de operaciones que pudiera tener como finalidad evitar los umbrales de identificación o aviso, o utilización de terceros sin una función comercial o económica evidente;
• operaciones con jurisdicciones, productos o canales de mayor riesgo, así como con personas vinculadas con países o zonas geográficas que presenten deficiencias en sus controles de PLD; 
• operaciones inusuales por su monto, frecuencia, forma de pago, origen o destino de los recursos, o que carezcan de un propósito económico o jurídico aparente;
• la participación de PEP o de clientes o usuarios clasificados como de alto riesgo;
• Resistencia, negativa o inconsistencias al proporcionar información sobre la identidad, actividad económica, origen o destino de recursos o beneficiario controlador; y
• diferencias entre la información proporcionada por el cliente o usuario y aquella obtenida de fuentes públicas o privadas confiables.

AV’s y obligaciones bajo la LFPIORPI

La LFPIORPI establece un catálogo de actos y operaciones considerados AV, cuyo régimen y umbrales varían dependiendo de cada supuesto. Entre ellas se encuentran determinados servicios inmobiliarios, profesionales y de fe pública, así como operaciones relacionadas con vehículos, joyería, obras de arte, activos virtuales, donativos, arrendamiento y ciertos actos de comercio exterior, además de la recepción de recursos destinados a desarrollos inmobiliarios para su venta o renta. Sin embargo, la participación en alguno de estos sectores no implica, por sí misma, que todas las operaciones realizadas constituyan una AV; es necesario analizar las características y condiciones previstas para cada supuesto en el artículo 17 de la LFPIORPI.

El análisis debe partir de las operaciones que la empresa realiza en la práctica y no únicamente de su objeto social, incluso cuando la AV no constituya su actividad principal o se realice por medio de un fideicomiso u otra figura jurídica. Después debe verificarse si se actualiza una AV. Después, debe verificarse si se actualiza una AV, si existe una relación de negocios y si los montos alcanzan los umbrales que activan obligaciones de identificación o presentación de avisos. También debe determinarse si procede acumular operaciones durante el periodo de seis meses previsto por la LFPIORPI y si resultan aplicables las restricciones al uso de efectivo o metales preciosos, las cuales son independientes de los umbrales de identificación y aviso.

Una vez confirmada la realización de una AV, deben determinarse las obligaciones aplicables, incluyendo, según corresponda, el alta y actualización en el padrón, la identificación y conocimiento del cliente o usuario y de su beneficiario controlador, la integración y conservación de expedientes, el seguimiento de operaciones, la presentación de avisos e informes y la implementación de los controles internos correspondientes.

SMPS Legal ha analizado las implicaciones de la reforma a la LFPIORPI, su reglamento y las reglas de carácter general, que amplió el catálogo de AV’s, incorporó nuevas obligaciones y reforzó los controles aplicables a quienes realizan AV. Este nuevo marco fue desarrollado posteriormente mediante las reformas al reglamento mencionado y las nuevas reglas de cumplimiento en materia de PLD, cuya implementación está sujeta a plazos escalonados.

Mapa ejecutivo de cumplimiento

PLD y financiamiento al terrorismo: una visión basada en riesgos

La prevención de lavado de dinero y financiamiento al terrorismo (PLD/FT) comparte herramientas como la identificación, la debida diligencia, el análisis, monitoreo y la presentación de avisos. Sin embargo, se trata de riesgos distintos: el lavado de dinero busca ocultar o dar apariencia de legitimidad a recursos de procedencia ilícita, mientras que el financiamiento al terrorismo se relaciona con la obtención, provisión o utilización de recursos para apoyar actos u organizaciones terroristas, aun cuando dichos recursos puedan tener un origen lícito. Por ello, el análisis debe considerar no solo el origen de los fondos, sino también su destino, propósito, beneficiarios y forma de utilización.

Los estándares del Grupo de Acción Financiera Internacional (GAFI) impulsan un enfoque basado en riesgos: las organizaciones deben identificar su exposición y aplicar controles proporcionales al nivel de riesgo, el cual ha sido incorporado al marco regulatorio mexicano. Conforme a este enfoque, quienes realizan AV deben identificar, analizar, comprender, medir y mitigar su exposición, así como aplicar controles proporcionales al grado de riesgo identificado y medidas reforzadas frente a clientes, usuarios u operaciones de mayor riesgo, de conformidad con el calendario de implementación aplicable. Este análisis debe considerar, entre otros elementos, las AV realizadas, los clientes o usuarios, beneficiarios controladores, productos y servicios, transacciones, canales, países y zonas geográficas, así como la evidencia documental que permita justificar la evaluación y los controles aplicados.

Las empresas que no realicen AV también pueden adoptar estos controles como parte de sus políticas de gobierno corporativo, integridad y gestión de riesgos, sin que ello las convierta por sí mismo en sujetos obligados conforme a la LFPIORPI.

¿Qué está en juego para las empresas?

El incumplimiento de la LFPIORPI puede generar multas y otras consecuencias administrativas por el incumplimiento de las obligaciones aplicables, incluyendo la omisión o presentación extemporánea de avisos, la integración deficiente de expedientes, el incumplimiento de las obligaciones de identificación y conservación de información, la falta de atención a requerimientos o la participación en operaciones prohibidas. En los supuestos de mayor gravedad, las multas pueden alcanzar hasta 65,000 veces el valor diario de la UMA o del 10 % al 100 % del valor del acto u operación, la cantidad que resulte mayor. Asimismo, la autoridad puede ordenar la suspensión temporal de operaciones con determinados clientes o usuarios y, para ciertas AV, el incumplimiento puede afectar permisos, autorizaciones o habilitaciones. Sin embargo, el riesgo no termina en la sanción.

Un sistema deficiente de PLD puede afectar procesos de due diligence, relaciones bancarias, financiamiento, inversiones, fusiones y adquisiciones y la reputación de la compañía, además de retrasar o impedir el cierre de operaciones estratégicas y comprometer la continuidad del negocio. Por ello, la calidad del expediente y la capacidad de demostrar cómo se evaluaron los riesgos, se clasificaron los clientes o usuarios, se analizaron las alertas y se aplicaron los controles correspondientes son tan importantes como el cumplimiento formal. Un modelo preventivo permite identificar y regularizar incumplimientos antes de una revisión de la autoridad, reducir contingencias y dar mayor solidez a la empresa frente a clientes, contrapartes, inversionistas y entidades financieras.

Checklist para una revisión preventiva

• Mapear las actividades reales de la empresa y determinar si alguna califica como AV, incluso cuando se realice de manera secundaria o por medio de fideicomisos u otras figuras jurídicas.
• Identificar los umbrales de identificación y aviso aplicables, verificar la acumulación de operaciones y revisar el cumplimiento de las restricciones al uso de efectivo o metales preciosos.
• Verificar el alta y la actualización de la información en el padrón, así como la designación y actuación del responsable de cumplimiento cuando resulte aplicable.
• Revisar la correcta integración y actualización de los expedientes de clientes o usuarios y beneficiarios controladores, incluyendo la información sobre actividad económica, propósito de la relación de negocios, PEP y grado de riesgo.
• Revisar la metodología y matriz de evaluación de riesgos, los criterios de clasificación de clientes o usuarios y su congruencia con las AV, operaciones, productos, servicios, canales y zonas geográficas involucradas.
• Revisar y, en su caso, actualizar el Manual de Políticas Internas, incluyendo funciones, responsabilidades, procedimientos de identificación, monitoreo, presentación de avisos, conservación de información y actualización de controles.
• Validar que los mecanismos automatizados cumplan con las funciones previstas en la normativa y permitan ejecutar adecuadamente los procesos de monitoreo, generación y análisis de alertas, acumulación de operaciones, seguimiento reforzado de PEP y clientes o usuarios de alto riesgo, presentación de avisos y documentación de operaciones inusuales.
• Confirmar la presentación correcta y oportuna de avisos e informes, plazos y conservación de información y documentación durante el periodo aplicable, así como la atención de notificaciones y requerimientos efectuados a través del portal correspondiente.
• Realizar un diagnóstico histórico de cumplimiento, identificar y cuantificar económicamente posibles incumplimientos y determinar la viabilidad de implementar medidas de regularización o remediación antes del ejercicio de facultades de verificación de la autoridad.
• Evaluar los procedimientos de selección de personal, los programas de capacitación, las auditorías y la evidencia que permita acreditar el diseño, implementación y operación efectiva de los controles internos.
• Establecer un plan de implementación y remediación con responsables, prioridades y fechas de cumplimiento, considerando la entrada en vigor escalonada de las nuevas obligaciones.

Preguntas frecuentes

¿Todas las empresas están sujetas a la LFPIORPI?

No todas las empresas están sujetas a las obligaciones aplicables a quienes realizan AV. Esta determinación depende de los actos u operaciones que efectivamente lleve a cabo cada empresa, aunque no formen parte de su actividad principal, y de si encuadran en alguno de los supuestos previstos por el artículo 17 de la LFPIORPI, incluso cuando se realicen por medio de fideicomisos u otras figuras jurídicas. Sin embargo, las sociedades mercantiles tienen obligaciones específicas en materia de beneficiario controlador aun cuando no realicen AV.

¿Qué es el beneficiario controlador?

Es la persona física o grupo de personas físicas que obtiene, en última instancia, el beneficio de una operación o ejerce control efectivo en última instancia sobre una persona moral, fideicomiso u otra estructura, así como aquella por cuya cuenta se realiza el acto u operación. Su identificación y la documentación del procedimiento seguido para determinarla constituyen componentes centrales del cumplimiento. El régimen previsto en la LFPIORPI es distinto e independiente del establecido en el CFF.

¿Basta con identificar al cliente?

No. Quienes realizan AV también deben verificar la identidad y actividad del cliente o usuario, conocer la naturaleza y el propósito de la relación de negocios, identificar al beneficiario controlador, evaluar y actualizar el grado de riesgo, monitorear el perfil transaccional, presentar los avisos e informes aplicables y conservar evidencia suficiente de los análisis y controles implementados. Asimismo, conforme al calendario de implementación aplicable, deberán contar con un Manual de Políticas Internas, mecanismos automatizados, capacitación y auditorías anuales.

¿Por qué revisar PLD antes de una transacción corporativa?

Porque una deficiencia de cumplimiento puede convertirse en una contingencia relevante durante un proceso de inversión, financiamiento, due diligence o M&A. Los incumplimientos identificados pueden generar multas, retrasar el cierre, afectar el acceso a financiamiento o traducirse en ajustes al precio, condiciones suspensivas, obligaciones de remediación o indemnizaciones especiales. Una revisión preventiva permite identificar y cuantificar estas contingencias, definir medidas de regularización y evitar que se materialicen durante la operación.

¿Es posible regularizar incumplimientos anteriores?

En ciertos casos, sí. La LFPIORPI contempla beneficios para la regularización espontánea realizada antes del inicio de las facultades de verificación de la autoridad, siempre que se cumplan los requisitos legales aplicables. La procedencia y alcance de estos beneficios deben analizarse caso por caso; presentar avisos extemporáneos o corregir expedientes no elimina automáticamente las infracciones ni garantiza que no se impongan sanciones.

Una visión preventiva del cumplimiento

La prevención de lavado de dinero ya no puede tratarse como un ejercicio aislado de presentación de avisos. Para empresas con operaciones complejas, el cumplimiento exige entender cómo interactúan clientes o usuarios, estructuras, transacciones y riesgos en la práctica, así como identificar si realizan AV, incluso de manera secundaria o por medio de otras figuras jurídicas, y acreditar la operación efectiva de sus controles. Anticiparse a estos riesgos protege la continuidad del negocio, fortalece la posición de la empresa frente a autoridades, clientes, entidades financieras e inversionistas y reduce su exposición a multas y contingencias que puedan comprometer una operación estratégica.

En SMPS Legal asesoramos a empresas nacionales y extranjeras en la evaluación de sus obligaciones bajo la LFPIORPI, la identificación de riesgos y la implementación de controles de cumplimiento acordes con su operación. Nuestra asesoría comprende diagnósticos integrales, cuantificación de posibles incumplimientos, opiniones legales, preparación y actualización de manuales y políticas, revisión de mecanismos automatizados y metodologías de riesgo, integración de expedientes, auditorías, capacitación y, cuando resulte necesario, el diseño de estrategias de regularización y remediación. Traducimos nuestros hallazgos en recomendaciones y planes de acción concretos, y acompañamos su implementación, con un enfoque preventivo orientado a reducir contingencias, asegurar un cumplimiento demostrable y brindar mayor certeza jurídica.