El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, por el que se reforman, adicionan y derogan diversas disposiciones de las Reglas de Carácter General (RCG) a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).
La reforma forma parte del proceso de implementación regulatoria derivado de las reformas publicadas en julio de 2025 a la LFPIORPI y de las modificaciones a su Reglamento. En términos generales, fortalece el enfoque preventivo, exige una administración de Riesgos más documentada y amplía las obligaciones de identificación, monitoreo, capacitación, sistemas y auditoría. Para los sujetos obligados, su importancia práctica radica en la necesidad de ajustar oportunamente sus modelos de Riesgo, manuales, expedientes, mecanismos tecnológicos y controles de gobierno corporativo conforme a un calendario de implementación escalonado.
Se deroga el concepto de "Dueño Beneficiario" y se reformula la definición de “Beneficiario Controlador”, con un umbral homologado de 25% o más del capital social o su equivalente.
Asimismo, se incorporan definiciones vinculadas con las nuevas obligaciones, entre ellas las de Evaluación Nacional de Riesgos, Grado de Riesgo, Manual de Políticas Internas, Mecanismos Automatizados, Mensaje de Datos, Mitigantes y Perfil Transaccional.
La reforma actualiza el régimen de alta y registro para contemplar cuatro supuestos: personas físicas, personas morales, fideicomisos y otras figuras jurídicas. Cuando la Actividad Vulnerable se realice a través de un fideicomiso u otra figura jurídica, la información deberá integrarse conforme a los nuevos Anexos 2 Bis y 2 Ter y enviarse mediante las herramientas del Portal.
Si el sujeto obligado está imposibilitado para tramitar su propia baja del Padrón, el SAT podrá realizarla directamente, previa solicitud de una persona interesada que proporcione la información y documentación que acredite dicha imposibilidad.
Los documentos digitales que el SAT envíe a través del Portal deberán abrirse dentro de los tres días hábiles siguientes a su envío; de no hacerlo, la notificación se tendrá por realizada el cuarto día hábil.
En consecuencia, los sujetos obligados deberán consultar el Portal al menos una vez cada día hábil para identificar oportunamente cualquier requerimiento, prevención, citatorio, resolución u otra comunicación de la autoridad.
Se incorpora la obligación de diseñar e implementar una metodología de evaluación de Riesgos. La metodología deberá constar en el Manual de Políticas Internas o en un documento equivalente y describir los procesos para identificar, analizar, comprender, medir y mitigar los Riesgos asociados con las Actividades Vulnerables, los Clientes o Usuarias, las transacciones y los canales de envío o distribución.
La metodología deberá incluir indicadores específicos relacionados con los delitos previstos en los artículos 139 Quáter y 400 Bis del Código Penal Federal. Para su implementación, deberá utilizarse información de un periodo no menor a doce meses o, cuando no exista historial, datos proyectados; además, deberá actualizarse ante la identificación de nuevos Riesgos o cambios en la Evaluación Nacional de Riesgos y conservarse durante diez años.
Los sujetos obligados deberán contar con un modelo de evaluación de Riesgos, coherente con la metodología del Enfoque Basado en Riesgos, que permita clasificar individualmente a cada Cliente o Usuaria por Grado de Riesgo. El modelo deberá estar previsto en el Manual de Políticas Internas.
La clasificación deberá contemplar, al menos, tres niveles: bajo, medio y alto. La evaluación del Grado de Riesgo deberá realizarse, como regla general, al menos cada seis meses, y con mayor frecuencia cuando el nivel de Riesgo sea mayor. También deberán considerarse de alto Riesgo, entre otros, ciertos Clientes o Usuarias no residentes en México vinculados con países o jurisdicciones de Riesgo, así como las Personas Políticamente Expuestas extranjeras.
Tratándose de las Personas Políticamente Expuestas de nacionalidad mexicana, deberán determinarse factores de Riesgo adicionales que permitan evaluar si su comportamiento transaccional corresponde razonablemente con sus ingresos, funciones, nivel y responsabilidad, de acuerdo con la información disponible (Art. 23 Bis 3).
Cuando el Grado de Riesgo del Cliente o Usuaria sea alto, deberá requerirse mayor información sobre su actividad preponderante y realizarse una revisión y un monitoreo más estricto de su comportamiento transaccional. Asimismo, deberán aplicarse las medidas reforzadas previstas para obtener información adicional sobre el origen y destino de los recursos y de los actos u operaciones. Estos cuestionarios podrán realizarse de forma remota, por medios digitales o electrónicos, y deberán contener la Firma Electrónica de quien los suscriba.
La reforma fortalece la política de conocimiento del Cliente o Usuaria al exigir que los sujetos obligados definan un Perfil Transaccional y den seguimiento al comportamiento esperado de cada Cliente o Usuaria.
Para ello, deberán monitorear sus actos u operaciones, identificar desviaciones relevantes e implementar alertas que permitan detectar cambios en el Perfil Transaccional. Este perfil deberá evaluarse, como mínimo, cada seis meses.
El nuevo Capítulo III Quáter define a las Personas Políticamente Expuestas nacionales y extranjeras e incluye supuestos de asimilación para familiares y personas con vínculos patrimoniales.
Para las PEP nacionales, la condición se mantiene durante el año siguiente a aquel en que hubieran dejado el cargo o, en ciertos casos, durante el año siguiente al acto u operación correspondiente.
La reforma también prevé la consulta de PEP nacionales mediante la aplicación "Consulta PEP 2.0" de la UIF, herramienta relevante para documentar la identificación y reforzar los controles de debida diligencia.
Se incorpora un capítulo específico sobre el Beneficiario Controlador. Quienes realicen Actividades Vulnerables deberán establecer criterios y procedimientos internos para identificarlo, documentar el procedimiento seguido, conservar los soportes correspondientes y mantenerlos actualizados durante la Relación de Negocios.
La identificación deberá realizarse antes del acto u operación o, a más tardar, al establecerse la Relación de Negocios. Se prevén excepciones acotadas, principalmente para Clientes o Usuarias listados en bolsas de valores reconocidas y determinadas personas morales sujetas a regímenes simplificados.
La reforma flexibiliza la forma de conservación del expediente único de identificación. Los sujetos obligados podrán conservarlo en formato físico o electrónico, siempre que todos los datos, documentos y soportes correspondientes se encuentren integrados en un mismo archivo.
El expediente deberá permitir la reconstrucción de los actos u operaciones y mantenerse disponible para la UIF o el SAT cuando sea requerido.
El Capítulo IV se renombra "Avisos e Informes" y precisa las reglas para determinar la fecha del acto u operación que detona el cómputo del plazo de presentación. También regula supuestos específicos relacionados con activos virtuales, custodia, facilitación o intermediación, contraprestaciones y copropiedad en arrendamientos.
Se mantiene y precisa el informe de no realización de actos u operaciones objeto de Aviso ("informe en ceros"), que no podrá modificarse ni eliminarse una vez enviado. Además, se incorporan el Aviso por sospecha y el Aviso por hechos o indicios, ambos con un plazo de presentación de 24 horas:
Aviso por sospecha. Procede cuando el sujeto obligado reconozca alguna actividad, conducta o comportamiento inusitado del Cliente o Usuaria, vinculado con posibles Delitos de Operaciones con Recursos de Procedencia Ilícita o delitos relacionados. Para identificarlo deberán considerarse, al menos, los montos, la frecuencia, las formas de pago, los periodos e instrumentos de pago, el área geográfica y el tipo o naturaleza del acto u operación.
Aviso por hechos o indicios. Procede cuando, derivado de información obtenida de otras fuentes públicas o privadas, se conozca una acción, evento o acontecimiento relacionado con un Cliente o Usuaria que permita considerar que los recursos utilizados en sus actos u operaciones podrían estar vinculados con posibles Delitos de Operaciones con Recursos de Procedencia Ilícita o delitos relacionados.
Operaciones bajo umbral o no celebradas. Ambos Avisos podrán enviarse aunque el acto u operación no alcance el monto o condición que normalmente detona un Aviso, e incluso cuando no se haya celebrado, siempre que existan datos para identificar al Cliente o Usuaria o a quien intentó realizarlo.
El Manual de Políticas Internas se consolida como el eje documental del programa de cumplimiento. Deberá concentrar, entre otros elementos, la metodología de Enfoque Basado en Riesgos; los criterios de identificación y conocimiento de Clientes o Usuarias; la clasificación por Grado de Riesgo; la debida diligencia diferenciada; los procedimientos aplicables a PEP y Beneficiario Controlador; la presentación de Avisos e Informes; la conservación documental; la capacitación; el control interno; la auditoría y la actualización del propio Manual.
Deberán implementarse programas anuales de capacitación y difusión dirigidos a los órganos de administración, directivos, funcionarios, Representantes Encargados de Cumplimiento y personal operativo relevante. El contenido deberá ser congruente con los Riesgos identificados, incluir evaluaciones y respaldarse con constancias y demás evidencia documental, que deberá conservarse por al menos diez años.
También deberán establecerse procedimientos de selección que permitan verificar la calidad técnica, experiencia y honorabilidad del personal, así como recabar declaraciones firmadas sobre antecedentes e inhabilitaciones.
Los Mecanismos Automatizados deberán ser razonablemente adecuados al volumen, naturaleza, complejidad y Riesgo de las operaciones. Podrán consistir en sistemas informáticos especializados o en procesos automatizados apoyados en hojas de cálculo, bases de datos u otros medios equivalentes, siempre que sean verificables ante la autoridad y permitan, entre otras funciones, conservar y consultar expedientes, consolidar operaciones por Cliente o Usuaria, alimentar la metodología de Riesgo, ejecutar la clasificación, generar alertas y conservar registros históricos por al menos diez años.
Se establece una revisión anual de la efectividad del cumplimiento de la LFPIORPI, su Reglamento y las RCG, correspondiente al periodo del 1 de enero al 31 de diciembre de cada año. Los resultados deberán presentarse al órgano de administración o a la persona física que realice la Actividad Vulnerable, mediante un dictamen que permita evaluar la eficacia de las medidas implementadas y dar seguimiento a las acciones correctivas.
El nivel de Riesgo del sujeto obligado —determinado conforme a su metodología de Enfoque Basado en Riesgos— define quién debe emitir el dictamen. Para Riesgo bajo o medio, podrá emitirlo el área de auditoría o control internos, siempre que sea independiente de la persona Representante Encargada de Cumplimiento. Si el Riesgo es alto, o si el sujeto obligado así lo elige, deberá intervenir una persona auditora externa independiente.
El dictamen deberá elaborarse con una metodología clara y dividirse, como mínimo, en las secciones de presentación, objeto, volumen de información y muestreo, proceso de auditoría, hallazgos, resultados de cumplimiento y acciones correctivas y recomendaciones de mejora. El dictamen deberá entregarse a más tardar el último día hábil de marzo.
El dictamen y la información y documentación que le sirvan de soporte deberán conservarse por un plazo no menor a cinco años y ponerse a disposición del SAT cuando lo requiera.
Por regla general, el Acuerdo entrará en vigor el 30 de noviembre de 2026, salvo las excepciones previstas en los artículos transitorios siguientes:
(a) Diagnóstico de brechas: Se recomienda realizar un diagnóstico integral del estado actual de cumplimiento frente a las nuevas obligaciones, a fin de identificar las áreas que requieren adecuaciones prioritarias.
(b) Plan de implementación escalonado: Dado que la reforma contempla plazos diferenciados de entrada en vigor, conviene diseñar un plan de trabajo que asigne recursos y responsables conforme al calendario de implementación, priorizando las obligaciones exigibles a partir del 1 de marzo de 2027.
(c) Manual de Políticas Internas: El Manual constituye el eje documental del programa de cumplimiento. Es indispensable actualizar o, en su caso, elaborar el Manual incorporando la metodología de Enfoque Basado en Riesgos, los criterios de clasificación por Grado de Riesgo, los procedimientos de debida diligencia diferenciada y los demás elementos exigidos por las RCG.
(d) Mecanismos Automatizados: Se sugiere evaluar la infraestructura tecnológica actual para determinar si cumple con las funciones requeridas por el artículo 41 de las RCG. Debe considerarse que los Mecanismos Automatizados pueden incluir desde sistemas informáticos especializados hasta procesos apoyados en hojas de cálculo o bases de datos, siempre que sean verificables ante la autoridad.
(e) Capacitación: El primer periodo anual de capacitación comprende del 1 de enero al 31 de diciembre de 2027. Se recomienda diseñar el programa con anticipación, asegurando que sea coherente con los Riesgos identificados e incluya mecanismos de evaluación y constancias documentales, que deberán conservarse por al menos diez años.
(f) Auditoría: Es conveniente anticipar la selección del auditor —interno o externo, según el nivel de Riesgo— y familiarizarse con el contenido mínimo del dictamen, dado que el primer periodo de auditoría comprenderá del 1 de enero al 31 de diciembre de 2028.
(g) Riesgos de incumplimiento: Es importante tener presente que el incumplimiento de las obligaciones previstas en la LFPIORPI y sus RCG puede dar lugar a la imposición de multas, las cuales se determinan conforme a los artículos 53 y 54 de la Ley. Además, el dictamen de auditoría deberá incluir una proyección económica del monto de las multas correspondientes en caso de no atender los hallazgos detectados.
En Mijares contamos con amplia experiencia asesorando a sujetos obligados en el cumplimiento de sus obligaciones en materia de prevención de lavado de dinero. Estamos a sus órdenes para resolver cualquier duda y apoyarle en la adecuación de su organización a los nuevos requerimientos.
Para cualquier consulta relacionada, por favor contacte a nuestro equipo de Cumplimiento Regulatorio.
Aviso legal: El presente Client Alert tiene fines exclusivamente informativos y no constituye asesoría legal ni una opinión formal respecto de un asunto en particular. La información aquí contenida refleja un análisis general elaborado por nuestros abogados con base en información disponible al momento de su publicación. Cualquier reproducción, cita o referencia a este contenido deberá atribuirse expresamente a Mijares y no deberá interpretarse como una declaración pública o comentario realizado por la firma ante medios de comunicación.
Premios
