El Acuerdo 115/2026 convierte las nuevas obligaciones de la LFPIORPI en procesos concretos: evaluación de riesgos, clasificación de clientes, KYC reforzado, Beneficiario Controlador, monitoreo, capacitación y auditoría.
Si su empresa considera que cumple con la Ley Antilavado por estar inscrita en el padrón, integrar expedientes, controlar umbrales y presentar avisos, la reforma exige revisar esa conclusión. Esas obligaciones continúan, pero ya no describen por sí solas un sistema de cumplimiento suficiente.
El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica las Reglas de carácter general de la LFPIORPI. El Acuerdo desarrolla operativamente la reforma legal del 16 de julio de 2025 y la reforma reglamentaria del 27 de marzo de 2026. Su entrada general en vigor será el 30 de noviembre de 2026, con obligaciones escalonadas durante 2027 y 2028.
El cambio de fondo no es un nuevo formato. Es un nuevo estándar de evidencia: la empresa deberá poder explicar a qué riesgos está expuesta, cómo clasifica a cada cliente, qué operaciones espera de él, qué alertas genera, quién toma decisiones y qué documentación prueba que los controles funcionan.
Del cumplimiento formal a un sistema integral de prevención
Las Reglas reformadas sustituyen la lógica de controles aislados por un modelo conectado. La evaluación institucional alimenta el Manual; el Manual define la clasificación de riesgo, la debida diligencia y las alertas; el monitoreo genera evidencia; la capacitación prepara a quienes operan el control; y la auditoría evalúa si todo el sistema es eficaz.
Por eso, copiar un manual genérico, conservar expedientes sin revisarlos o adquirir software sin una metodología previa no resuelve la obligación. La autoridad podrá requerir no sólo documentos, sino también datos, imágenes, registros históricos y la explicación de las decisiones tomadas.
Enfoque basado en riesgos: el punto de partida
Quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología para identificar, analizar, entender, medir y mitigar sus riesgos. La evaluación debe considerar, al menos, los actos u operaciones, los tipos de clientes, los países y áreas geográficas, y las transacciones o canales de envío y distribución. También debe incorporar los mitigantes realmente aplicados y la información pertinente de la Evaluación Nacional de Riesgos.
La metodología no puede construirse sólo con percepciones. Su implementación debe utilizar información del total de clientes, número de operaciones y monto operado correspondiente a un periodo no menor de doce meses. Los negocios nuevos podrán iniciar con datos proyectados, pero deberán actualizar su evaluación al cumplir sus primeros doce meses de operación.
Además, la evaluación debe realizarse antes de introducir nuevos productos, servicios, canales, modalidades o tipos de clientes. Sus resultados deben revisarse cuando aparezcan riesgos nuevos, se actualice la Evaluación Nacional de Riesgos o, como máximo, dentro de los doce meses siguientes a los resultados de la implementación. La documentación debe conservarse por diez años.
Impacto práctico: la empresa necesitará una matriz que conecte riesgo inherente, indicadores, ponderaciones, controles mitigantes y riesgo residual. Pero, sobre todo, deberá poder demostrar por qué asignó esos valores y qué decisiones adoptó a partir del resultado.
Cada cliente deberá tener un grado de riesgo y un perfil transaccional
Las Reglas obligan a contar con un modelo coherente con la evaluación institucional para clasificar a los clientes, al menos, en riesgo bajo, medio y alto. La clasificación inicial se basa en la información proporcionada por el cliente y debe reevaluarse al menos cada seis meses; la revisión debe ser más frecuente cuando el riesgo sea mayor.
El análisis debe considerar características inherentes -como actividad, nacionalidad, residencia, fuentes de ingresos y propósito de la relación- y características transaccionales -como volumen, frecuencia, monto, contrapartes, origen y destino de recursos, instrumento y moneda-. En paralelo, la empresa deberá definir el perfil transaccional esperado de cada cliente y monitorear las desviaciones.
Durante los primeros seis meses, el perfil inicial considerará los montos máximos mensuales que el cliente estime realizar. Después, deberá evaluarse al menos cada seis meses. Una medida simplificada no puede aplicarse por comodidad: requiere que el cliente sea de bajo riesgo y que los criterios estén documentados en el Manual. En riesgo alto se exige información adicional, cuestionarios sobre origen y destino de recursos y monitoreo reforzado.
Beneficiario Controlador: identificar a la persona física final
La identificación del Beneficiario Controlador deja de descansar en una declaración superficial. Para personas morales, las Reglas establecen un orden de prelación: primero, la persona física o grupo que directa o indirectamente tenga 25% o más del capital; después, quien controle por otros medios y participe en la estrategia o toma de decisiones; y, si ello no permite identificarlo, la persona funcionaria administrativa de mayor grado o alta dirección.
En fideicomisos, el análisis debe alcanzar a las personas físicas que ejerzan control efectivo mediante facultades contractuales, legales o de otra naturaleza, incluyendo -según el caso- fiduciarios, fideicomitentes, fideicomisarios, protectores o integrantes del comité técnico. Si alguno de ellos es una persona moral u otra estructura, debe recorrerse la cadena hasta llegar a la persona física final.
La empresa deberá documentar el procedimiento seguido, conservar la información que lo sustente y mantenerla actualizada durante la relación de negocios. El expediente, por tanto, debe permitir reconstruir la investigación y no sólo exhibir una casilla marcada.
Personas Políticamente Expuestas: más que consultar una lista
La definición comprende a quienes desempeñan o han desempeñado funciones públicas relevantes en México, en el extranjero o en organizaciones internacionales. También se asimilan el cónyuge, concubina o concubinario, parientes por consanguinidad o afinidad hasta segundo grado, y asociados o socios de personas morales con vínculos patrimoniales.
Las Personas Políticamente Expuestas extranjeras deberán considerarse de riesgo alto. Para las nacionales se requieren factores adicionales que permitan evaluar si su comportamiento transaccional es razonable frente a sus ingresos, funciones y nivel de responsabilidad. Si, además, una PEP es de riesgo alto, la operación requiere aprobación de un directivo o equivalente; para una persona física que realiza la Actividad Vulnerable, la decisión deberá documentarse mediante constancia motivada.
Manual de Políticas Internas: debe describir la operación real
El Manual deberá desarrollar las políticas de identificación y conocimiento de clientes, la metodología de riesgos y los criterios para abrir, limitar o terminar relaciones comerciales. El artículo 37 Bis enumera catorce contenidos mínimos: desde la clasificación de riesgo, debida diligencia, PEP, perfiles y avisos, hasta conservación, acumulaciones, listas, funciones del responsable, capacitación, auditoría, confidencialidad y actualización.
Para quienes ya se encuentran registrados y agotaron el plazo de noventa días desde su alta, el Manual actualizado con la metodología deberá estar disponible a partir del 1 de marzo de 2027. Quienes se registren posteriormente deberán contar con él dentro de los noventa días naturales de su alta.
Un Manual genérico será especialmente vulnerable en una verificación: si describe controles inexistentes o no coincide con el sistema, la operación, los responsables o la evidencia, en lugar de proteger a la empresa puede documentar la brecha.
Mecanismos automatizados: monitoreo verificable, no necesariamente software costoso
Una de las precisiones más relevantes para empresas pequeñas y medianas es que los mecanismos automatizados pueden consistir en sistemas especializados, hojas de cálculo, bases de datos u otros medios equivalentes. La condición no es la marca de la herramienta, sino que las funciones exigidas se cumplan y sean verificables ante la autoridad.
El mecanismo debe conservar y actualizar expedientes; consolidar operaciones por cliente; comparar la actividad contra el perfil transaccional; acumular operaciones; alimentar la metodología de riesgos; ejecutar la clasificación; conservar durante diez años el historial de cambios; generar alertas para clientes de alto riesgo, PEP, listas y jurisdicciones relevantes; y monitorear el uso de efectivo y metales preciosos.
Una hoja de cálculo puede ser válida, pero no por el solo hecho de existir. Necesitará integridad de datos, responsables, reglas de negocio, trazabilidad de cambios, controles de acceso, respaldos y evidencia de que las alertas fueron atendidas. El plazo para contar con estos mecanismos vence el 1 de junio de 2027 y el sistema deberá contener las operaciones realizadas a partir de esa fecha.
Avisos de 24 horas: sospecha, indicios e intentos
Las Reglas desarrollan dos vías de aviso en 24 horas: cuando el comportamiento del cliente o las características de la operación resulten inusitados y pudieran relacionarse con lavado de dinero o delitos vinculados; y cuando información de fuentes públicas o privadas aporte hechos o indicios relevantes.
Estos avisos pueden presentarse aunque la operación no alcance el umbral e incluso si no llegó a celebrarse, siempre que existan datos que permitan identificar al cliente o a quien intentó realizarla. Su habilitación operativa tiene una fecha condicionada: seis meses después de que entre en vigor la resolución que modifique los formatos oficiales para identificar expresamente estos avisos.
El reto será detectar, escalar y documentar la sospecha sin revelar al cliente la existencia del aviso o de requerimientos de autoridad. Esa prohibición de alertamiento debe incorporarse al Manual, la capacitación y los controles de acceso a la información.
Capacitación anual y selección de personal con evidencia
La capacitación deja de ser una plática ocasional. Deberá alcanzar al consejo de administración, administrador único, directivos, responsable de cumplimiento y personal relacionado con clientes, avisos o auditoría. El primer periodo anual será del 1 de enero al 31 de diciembre de 2027.
Los cursos deben cubrir el marco normativo, el Manual, las operaciones vulnerables y los riesgos de la empresa. Quien imparta la capacitación deberá acreditar al menos cinco años de experiencia en prevención de lavado de dinero y delitos relacionados. También habrá evaluaciones, constancias y medidas para quienes no obtengan resultados satisfactorios; toda la evidencia deberá conservarse por diez años.
Para las nuevas contrataciones realizadas desde el 1 de marzo de 2027, deberán aplicarse procedimientos de selección que consideren calidad técnica, experiencia y honorabilidad, incluyendo declaraciones firmadas sobre antecedentes relevantes.
Auditoría anual: eficacia, hallazgos y costo potencial
La auditoría deberá evaluar y dictaminar la efectividad del cumplimiento de la Ley, el Reglamento y las Reglas. Cuando el riesgo institucional sea bajo o medio, podrá realizarla un área interna independiente del responsable de cumplimiento o un auditor externo. Si el riesgo es alto, deberá intervenir un auditor externo independiente que cumpla requisitos profesionales, de experiencia y certificación ante la UIF.
El dictamen ya no será un simple listado de documentos. Debe explicar el conocimiento del auditado, el volumen y muestreo, la metodología, los hallazgos, la evaluación individual de cada obligación y las acciones correctivas. Las calificaciones serán: cumple, cumple mayoritariamente, cumple parcialmente, no cumple o no aplica. También deberá incluir responsables, plazos, seguimiento del año anterior y una proyección económica de las multas que podrían generarse.
El primer periodo obligatorio abarcará del 1 de enero al 31 de diciembre de 2028. El dictamen correspondiente deberá entregarse a más tardar el último día hábil de marzo de 2029. Esto no significa que la preparación pueda esperar: la auditoría revisará si los controles estuvieron diseñados, implementados y operando durante el periodo.
Notificaciones electrónicas: el Portal se convierte en buzón operativo
El alta implicará aceptar notificaciones electrónicas de la UIF y el SAT a través del Portal. Una vez habilitado el sistema, el sujeto obligado tendrá tres días hábiles para abrir los documentos pendientes; la notificación se tendrá por realizada al cuarto día hábil. Las Reglas exigen consultar el Portal al menos una vez cada día hábil.
La Secretaría dispone de ocho meses desde la entrada en vigor del Acuerdo para implementar los mecanismos tecnológicos. Mientras se habilitan, la empresa debe definir quién revisará el Portal, quién suplirá ausencias, cómo se conservarán acuses y cómo se escalarán requerimientos. Asimismo, las actualizaciones al registro deberán presentarse dentro de los seis días hábiles siguientes al hecho que las motive.
Cambios sectoriales que también merecen atención
Fideicomisos y otras figuras jurídicas
Se incorporan reglas y anexos específicos para su alta y registro mediante archivos XML. Las personas morales, fideicomisos y otras figuras deberán usar la e.firma asociada a su propio RFC, no la de representantes, fideicomitentes o apoderados. En una asociación en participación, el asociante será responsable del trámite.
Activos virtuales
Los proveedores deberán conservar información precisa del originante, receptor y, en su caso, Beneficiario Controlador, así como datos de trazabilidad de cada operación. Se desarrollan los conceptos de custodia, almacenamiento, facilitación e intermediación y se precisan reglas para montos y contraprestaciones. Quienes ya estén registrados deberán actualizar y entregar información dentro de los seis meses siguientes a la entrada en vigor del Acuerdo.
Asociaciones y sociedades sin fines de lucro
La UIF deberá aplicar medidas proporcionales y basadas en riesgo para prevenir el financiamiento de organizaciones delictivas. Estas entidades deberán observar las medidas que se emitan incluso cuando no sean consideradas Actividad Vulnerable, lo que amplía el universo de organizaciones que deben seguir de cerca la regulación secundaria.
Arrendamiento en copropiedad y grupos empresariales
Cuando un inmueble se otorgue en uso o goce por copropietarios, cada uno deberá cumplir considerando el monto total de la renta mensual pactada y reportar el pago recibido individualmente. Para grupos empresariales, se permiten políticas centralizadas e intercambio de información bajo condiciones de seguridad y confidencialidad, pero cada integrante conserva su responsabilidad individual.
Calendario de implementación 2026-2029
| Hito | Fecha o condición | Qué debe estar listo |
| Entrada general en vigor | 30 de noviembre de 2026 | Procesos de alta, registro, avisos, expedientes y demás reglas reformadas, salvo excepciones transitorias. |
| EBR y Manual | 1 de marzo de 2027 | Evaluación de riesgos disponible; Manual actualizado con metodología para quienes ya agotaron el plazo de 90 días. |
| Riesgo de clientes, KYC y BC | Operaciones desde el 1 de marzo de 2027 | Clasificación bajo/medio/alto, perfil transaccional, debida diligencia y Beneficiario Controlador. |
| Selección de personal | Nuevas contrataciones desde el 1 de marzo de 2027 | Procedimientos de selección y declaraciones de calidad técnica, experiencia y honorabilidad. |
| Capacitación | 1 de enero al 31 de diciembre de 2027 | Primer programa anual, evaluaciones, constancias y evidencia documental. |
| Mecanismos automatizados | A más tardar el 1 de junio de 2027 | Monitoreo, acumulaciones, alertas, historial de riesgo y control de efectivo/metales. |
| Consulta PEP 2.0 | Nueve meses después de la entrada en vigor | Acceso mediante e.firma, conforme a la habilitación prevista en las Reglas. |
| Avisos de 24 horas | Seis meses después de que entre en vigor la resolución que modifique los formatos | Flujo de detección, escalamiento, confidencialidad y envío de avisos por sospecha o indicios. |
| Auditoría | 1 de enero al 31 de diciembre de 2028 | Primer periodo anual obligatorio; dictamen a más tardar el último día hábil de marzo de 2029. |
Fuente: artículos transitorios del Acuerdo 115/2026. Las fechas condicionadas deben verificarse contra las resoluciones de formatos y la habilitación tecnológica que se publiquen posteriormente.
¿Qué debería hacer su empresa desde ahora?
- Definir el alcance. Confirmar todas las Actividades Vulnerables realizadas, las entidades o figuras que intervienen, los canales, las sucursales y la situación del padrón.
- Construir el calendario regulatorio propio. Separar obligaciones vigentes, fechas transitorias y eventos condicionados a formatos o sistemas; asignar responsables y evidencia esperada.
- Levantar la información de 2026. La evaluación de riesgos utilizará información del año inmediato anterior o la disponible. Esperar a marzo de 2027 puede dejar a la empresa sin datos confiables para sustentarla.
- Diseñar la metodología antes de comprar tecnología. Primero deben definirse riesgos, indicadores, ponderaciones, mitigantes, perfiles y alertas; después se configura la hoja de cálculo, base de datos o sistema que los ejecutará.
- Alinear el Manual con la operación. Cada política debe traducirse en un flujo, responsable, control, registro y evidencia. Las áreas comercial, operativa, tecnológica, jurídica y financiera deben participar.
- Preparar personas y revisión independiente. Programar capacitación, selección, simulacros de alertas y una revisión temprana que identifique brechas antes de la primera auditoría obligatoria o de una visita del SAT.
El costo de esperar no sólo se mide en multas
La LFPIORPI contempla multas de 200 a 2,000 UMA para diversos incumplimientos; de 2,000 a 10,000 UMA para otros supuestos; y, en casos graves como la omisión de avisos o la participación en operaciones prohibidas, de 10,000 a 65,000 UMA o del 10% al 100% del valor del acto u operación, la cantidad que resulte mayor.
Existen beneficios de regularización espontánea bajo condiciones específicas: por una sola ocasión, la autoridad puede abstenerse de sancionar si el cumplimiento ocurre antes de iniciar facultades de verificación y se reconoce la falta dentro del plazo legal; posteriormente, puede existir reducción de hasta 50% en determinados casos. No es una estrategia de cumplimiento ni opera automáticamente, pero confirma el valor de detectar y corregir antes de una revisión.
No todo incumplimiento administrativo constituye delito. Sin embargo, determinadas conductas relacionadas con información falsa, alterada o destinada a avisos y requerimientos pueden tener consecuencias penales. La mejor defensa comienza con procesos consistentes, decisiones documentadas y evidencia íntegra.
Convierta la LFPIORPI en un sistema de control
La reforma ofrece una ventana de implementación, no una razón para posponer. Las empresas que comiencen por ordenar datos, responsabilidades y controles podrán llegar a 2027 con una metodología defendible y a 2028 con evidencia suficiente para una auditoría de eficacia.
ADN Asesores de Negocios acompaña este proceso de manera modular: diagnóstico LFPIORPI, implementación de Compliance PLD, metodología de enfoque basado en riesgos, matrices, Manual de Políticas Internas, mecanismos automatizados, capacitación, auditoría, preparación para visitas de verificación y soporte técnico-jurídico en defensa, cuando corresponda.