El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). La entrada en vigor general se prevé para el 30 de noviembre de 2026, sin perjuicio de las disposiciones transitorias que establecen fechas posteriores para determinadas obligaciones.
Las modificaciones incorporan obligaciones específicas de identificación, evaluación y administración de riesgos, conocimiento de clientes, beneficiario controlador, controles internos, capacitación, mecanismos automatizados y auditoría. Se describen a continuación las definiciones adicionadas, los capítulos incorporados y sus principales exigencias.
I. Nuevas definiciones incorporadas al artículo 3
VIII Bis. Evaluación Nacional de Riesgos
Documento emitido y actualizado por la Unidad de Inteligencia Financiera (UIF), que se da a conocer a quienes realizan Actividades Vulnerables a través del Portal en Internet.
VIII Ter. Firma Electrónica
Datos electrónicos consignados en un mensaje de datos o asociados a éste, utilizados para identificar al firmante y expresar su aprobación, con los efectos jurídicos previstos en el Código de Comercio.
IX Bis. Grado de Riesgo
Clasificación atribuida a cada cliente o usuario con base en la evaluación individual de su riesgo, conforme al Capítulo III Bis.
XI Bis. Manual de Políticas Internas
Documento que contiene los criterios, medidas, políticas y procedimientos de cumplimiento a que se refiere el Capítulo X.
XI Ter. Mecanismos automatizados
Procesos, sistemas o herramientas tecnológicas para revisar continuamente operaciones; pueden comprender sistemas especializados, hojas de cálculo, bases de datos u otros medios equivalentes, siempre que satisfagan las funciones del artículo 41 y sean verificables.
XI Quáter. Mensaje de datos
Información generada, enviada, recibida o archivada por medios electrónicos, ópticos o cualquier otra tecnología, conforme al Código de Comercio.
XI Quinquies. Mitigantes
Políticas, criterios, medidas y procedimientos que permiten administrar y disminuir la exposición a los riesgos identificados.
XI Sexties. Perfil transaccional
Conjunto de elementos que permiten identificar el comportamiento esperado del cliente o usuario: monto, frecuencia, zona geográfica, origen y destino de recursos, actividad económica y demás circunstancias relevantes.
II. Nuevos capítulos y obligaciones
El Acuerdo incorpora capítulos especializados que deben analizarse de forma conjunta: la metodología de riesgo alimenta la clasificación de clientes; ésta, a su vez, orienta el monitoreo, las alertas y la documentación del cumplimiento.
1. Capítulo II Ter. Alta y registro de fideicomisos y otras figuras jurídicas (arts. 10 Sexies y 10 Sexies 1)
Se incorpora el procedimiento de alta y registro para quienes realizan Actividades Vulnerables a través de fideicomisos u otras figuras jurídicas, mediante los Anexos 2 Bis y 2 Ter.
La información de integrantes o miembros se presenta en archivo XML generado con la herramienta del Portal en Internet. Para dar de baja a un integrante, se efectúa la baja y se reenvía la información; las altas posteriores también se informan mediante XML.
En asociaciones en participación, el asociante es responsable del alta y registro, utilizando la e.firma asociada al RFC de la asociación.
2. Capítulo II Quáter. Enfoque basado en riesgos (arts. 10 Septies a 10 Septies 6)
Se establece la obligación de diseñar e implementar una metodología documentada de evaluación de riesgos, considerando actos u operaciones, clientes o usuarios, países y áreas geográficas, transacciones y canales de envío o distribución. Debe incorporarse al Manual de Políticas Internas o constar en documento separado.
La metodología debe sustentarse en información de al menos 12 meses. Si todavía no existen operaciones, se utilizarán datos proyectados y se actualizará al cumplirse los primeros 12 meses de operación.
Debe revisarse cuando se identifiquen nuevos riesgos, se actualice la Evaluación Nacional de Riesgos o, en cualquier caso, en un plazo no mayor de 12 meses.
La información y documentación que la sustente se conservará por un mínimo de 10 años.
3. Capítulo III Bis. Clasificación del riesgo del cliente o usuario (arts. 23 Bis a 23 Bis 4)
Se establece la obligación de contar con un modelo de evaluación individual, documentado en el Manual de Políticas Internas, con al menos tres categorías de riesgo: bajo, medio y alto. La clasificación deberá revisarse, como mínimo, cada seis meses.
Entre las características inherentes se consideran antecedentes, tipo de persona, fecha de nacimiento o constitución, actividad económica, nacionalidad, residencia, fuentes de ingreso y naturaleza y propósito de la relación.
Entre las características transaccionales se consideran tipo de operación, volumen, frecuencia, monto, número de contrapartes, origen y destino de recursos, instrumentos monetarios y moneda utilizada.
Se clasifican como de riesgo alto, en los supuestos previstos por las reglas, las personas no residentes vinculadas a jurisdicciones fiscales preferentes o con deficiencias en medidas antilavado, así como las personas políticamente expuestas extranjeras.
4. Capítulo III Ter. Conocimiento del cliente o usuario (arts. 23 Ter a 23 Ter 5)
Se incorpora la obligación de establecer políticas y procedimientos para conocer al cliente, dar seguimiento a sus operaciones y determinar su perfil transaccional.
El perfil transaccional deberá evaluarse al menos cada seis meses.
Se exige un sistema de alertas para identificar cambios relevantes respecto del comportamiento o Perfil transaccional del cliente.
Tratándose de personas físicas de riesgo alto, se aplicarán medidas reforzadas para conocer el origen y destino de los recursos utilizados.
Tratándose de personas morales de riesgo alto, se obtendrá información adicional de los principales socios o accionistas y se consultarán los registros electrónicos de la Secretaría de Economía para verificar los datos proporcionados.
Cuando el cliente sea persona políticamente expuesta y, además, de riesgo alto, se requerirá la aprobación de un directivo o equivalente.
5. Capítulo III Quáter. Personas Políticamente Expuestas (arts. 23 Quáter a 23 Quáter 2)
Se define como persona políticamente expuesta (PEP) a la persona física que desempeña o ha desempeñado funciones públicas relevantes en México o el extranjero, entre ellas jefaturas de Estado o de gobierno, dirigentes políticos, altos funcionarios gubernamentales, judiciales o militares, altos ejecutivos de empresas estatales y funcionarios relevantes de partidos u organizaciones internacionales.
Se asimilan a PEP el cónyuge, concubina o concubinario, familiares por consanguinidad o afinidad hasta el segundo grado y asociados o socios de personas morales con las que existan vínculos patrimoniales, en los términos de las reglas.
La condición de PEP nacional subsiste durante el año siguiente a aquel en que la persona dejó el cargo. La consulta de PEP nacionales se realizará mediante la aplicación Consulta PEP 2.0, sujeta al plazo transitorio de habilitación correspondiente.
6. Capítulo III Quinquies. Beneficiario controlador (arts. 23 Quinquies a 23 Quinquies 3)
Se establece un orden de prelación obligatorio para identificar a la persona física o grupo de personas físicas que constituyan el beneficiario controlador:
Primero: quienes, directa o indirectamente, adquieran, sean titulares o posean por cualquier título el 25% o más de la composición accionaria o del capital social del cliente o usuario.
Segundo: quienes ejerzan el control por otros medios y desempeñen funciones relacionadas con la estrategia, la toma de decisiones y la dirección de sus principales políticas.
Tercero: cuando no se identifique a una persona conforme a los criterios anteriores, quienes ocupen la posición administrativa de mayor jerarquía o de alta dirección.
En fideicomisos se identificará a quienes ejerzan control efectivo, atendiendo a las funciones de fideicomitentes, fiduciarios, fideicomisarios, protectores y miembros del comité técnico, según corresponda.
La identificación debe efectuarse antes del acto u operación o, a más tardar, al establecer la relación de negocios, conforme al supuesto aplicable.
7. Capítulo X. Manual de Políticas Internas (arts. 37 a 37 Bis 3)
Se establece un contenido mínimo de 14 apartados para el Manual de Políticas Internas:
01 Criterios de identificación y conocimiento de clientes o usuarios.
02 Mecanismos de clasificación de riesgos.
03 Medidas de debida diligencia según el grado de riesgo.
04 Procedimientos de identificación y seguimiento reforzado de PEP.
05 Mecanismos para detectar operaciones apartadas del perfil transaccional.
06 Procedimientos para presentar Avisos e Informes en tiempo y forma.
07 Mecanismos de conservación de información y documentación.
08 Seguimiento y acumulación de operaciones para determinar umbrales de Avisos.
09 Consulta de listas nacionales e internacionales vinculadas con financiamiento ilícito.
10 Funciones y responsabilidades del Representante Encargado de Cumplimiento.
11 Programas de capacitación.
12 Mecanismos de control interno, supervisión y auditoría.
13 Medidas para garantizar la confidencialidad de la información.
14 Procedimientos para actualizar el propio Manual.
El Manual deberá elaborarse dentro de los 90 días naturales siguientes al alta y registro, conforme a las disposiciones aplicables. Se prevén políticas centralizadas para grupos empresariales y la posibilidad de que el SAT ordene modificaciones en ejercicio de sus facultades de supervisión.
8. Capítulo XI. Mecanismos de prevención (arts. 38 a 38 Bis 2)
Se establecen medidas proporcionales para asociaciones y sociedades sin fines de lucro, con independencia de que realicen una Actividad Vulnerable. Las medidas deberán incluir, al menos:
Programas de capacitación y difusión de información para mitigar el riesgo de utilización en operaciones relacionadas con el delito previsto en el artículo 139 Quáter del Código Penal Federal.
Monitoreo de actos u operaciones vinculados con donantes o países considerados de alto riesgo en materia de financiamiento al terrorismo.
9. Capítulo XII. Capacitación y selección de personal (arts. 39 a 39 Bis 2)
Se establece la obligación de implementar programas anuales de capacitación para consejeros, administrador único o equivalente, directivos, funcionarios, Representante Encargado de Cumplimiento y empleados involucrados en atención al público, identificación de clientes, presentación de Avisos o auditoría.
Los materiales, programas, listas de asistencia, evaluaciones, constancias y demás evidencia documental de la capacitación deberán conservarse por un mínimo de 10 años.
Se incorporan procedimientos de selección que permitan verificar capacidad técnica, experiencia y honorabilidad, incluida declaración firmada del personal sobre antecedentes laborales en sectores sujetos a PLD y ausencia de determinadas condenas o inhabilitaciones previstas por las reglas.
10. Capítulo XIII. Mecanismos automatizados (art. 41)
Se establecen seis funciones mínimas de los mecanismos automatizados:
01 Conservar, actualizar y permitir consultar los datos y documentos del expediente único de identificación de cada cliente o usuario.
02 Consolidar las operaciones por cliente, monitorear desviaciones del perfil transaccional y acumular operaciones para determinar umbrales de Avisos.
03 Proveer la información necesaria para la metodología de evaluación de riesgos.
04 Ejecutar el modelo de clasificación del grado de riesgo y conservar por al menos 10 años los historiales de cambios en la clasificación y el perfil transaccional.
05 Generar alertas sobre operaciones con clientes de alto riesgo, PEP, personas incluidas en listas y operaciones vinculadas con jurisdicciones de riesgo o regímenes fiscales preferentes.
06 Monitorear el uso de efectivo y metales preciosos para el cumplimiento del artículo 32 de la LFPIORPI.
Las reglas admiten soluciones tecnológicas de distinta complejidad, siempre que permitan acreditar de forma verificable estas funciones; no se establece, por ese solo hecho, la adquisición obligatoria de una plataforma comercial determinada.
11. Capítulo XIV. Auditoría (arts. 42 a 51)
Se establece la revisión anual del cumplimiento, correspondiente al periodo del 1 de enero al 31 de diciembre, con emisión de dictamen. Para el primer año de operaciones se prevé un periodo especial desde el inicio de la Actividad Vulnerable hasta el 31 de diciembre del año siguiente.
Para sujetos de riesgo bajo o medio se admite auditoría o control interno, con personal independiente del Representante Encargado de Cumplimiento. Para sujetos de riesgo alto, o cuando se opte por esa modalidad, se exige auditor externo independiente con título y cédula profesional, tres años de experiencia y certificación vigente de la UIF.
Cada obligación se calificará como «Cumple», «Cumple mayoritariamente», «Cumple parcialmente», «No cumple» o «No aplica». La revisión se efectúa dentro de los tres meses siguientes al cierre del año auditado y el dictamen se entrega, a más tardar, el último día hábil de marzo.
El dictamen y sus soportes se conservarán por al menos cinco años desde su entrega.
FECHAS CLAVE DE CUMPLIMIENTO
III. Calendario de implementación
La entrada en vigor general no supone exigibilidad simultánea de todas las obligaciones. Los hitos principales son los siguientes, sujetos a la lectura de cada disposición transitoria:
| FECHA / PLAZO | OBLIGACIÓN / IMPLEMENTACIÓN |
|---|---|
| 30 noviembre 2026 | Entrada en vigor general; reglas sobre PEP y registro de figuras jurídicas, con las excepciones transitorias. |
| 1 enero 2027 | Inicio del primer periodo anual de capacitación. |
| 1 marzo 2027 | Metodología de riesgos, clasificación y conocimiento de clientes, beneficiario controlador y Manual de Políticas Internas, conforme a los transitorios; reglas especiales de selección para nuevas contrataciones. |
| Plazo de 6 meses | Actualización relacionada con activos virtuales, conforme al transitorio correspondiente. |
| 1 junio 2027 | Implementación de mecanismos automatizados. |
| Plazo de 8 meses | Sistema de notificaciones electrónicas de la autoridad. |
| Plazo de 9 meses | Habilitación de Consulta PEP 2.0. |
| 1 enero 2028 | Inicio del primer periodo anual de auditoría. |
| Fecha condicionada | Avisos especiales sujetos a formatos oficiales y plazos transitorios. |
IV. Consideraciones jurídicas de GRI
Las modificaciones a las Reglas de Carácter General establecen obligaciones más detalladas de identificación, evaluación, documentación y seguimiento de riesgos para quienes realizan Actividades Vulnerables. Su cumplimiento requiere revisar procesos internos, asignar responsabilidades y conservar evidencia suficiente de las medidas implementadas.
1. Proporcionalidad y cargas de cumplimiento
El régimen comprende sujetos obligados con tamaños, recursos, volúmenes de operación y capacidades tecnológicas muy diferentes. Aunque existen tratamientos diferenciados en materias específicas —por ejemplo, la modalidad de auditoría según el nivel de riesgo—, la elaboración de metodologías, clasificación de clientes, monitoreo, capacitación y controles puede representar una carga económica y administrativa considerable para pequeñas y medianas empresas, incluso cuando sus operaciones sean limitadas.
Desde nuestra perspectiva, la aplicación y supervisión de las obligaciones debe atender tanto a la exposición al riesgo como a la naturaleza, frecuencia y complejidad de las operaciones y a la capacidad operativa del sujeto obligado.
2. Certeza jurídica y aplicación gradual
El calendario escalonado exige identificar con precisión el momento en que cada obligación resulta exigible. Algunas medidas dependen de formatos, sistemas y herramientas administrados por la autoridad. La emisión oportuna de criterios y la disponibilidad de dichos medios serán relevantes para que los sujetos obligados puedan cumplir en condiciones de certeza jurídica.
3. Eficacia de los mecanismos tecnológicos
Los mecanismos automatizados deberán permitir detectar operaciones atípicas, registrar alertas y conservar historiales verificables. Su utilidad dependerá de que los controles respondan a los riesgos y características de cada organización, evitando duplicidades y procedimientos meramente formales que incrementen costos sin mejorar la prevención.
V. Comentarios finales
La implementación de las nuevas disposiciones requiere identificar las obligaciones aplicables, revisar los procedimientos existentes y establecer un programa de cumplimiento con responsables, plazos y evidencia documental. Reconocemos la complejidad jurídica, tecnológica y administrativa que estas exigencias representan, especialmente para organizaciones que no cuentan con estructuras especializadas.
En GRI Legal & Tax Advisory entendemos los retos que implica cumplir con estas nuevas obligaciones. Nuestro equipo puede acompañar a su organización en la revisión, adecuación e implementación de sus medidas de cumplimiento, con soluciones jurídicas acordes con sus actividades y necesidades.
GRI LEGAL & TAX ADVISORY | grojas@grilegal.com | www.grilegal.com