Por: José Luis Arenas López
Contexto
2026 puede considerarse un año de retos fiscales, para ello, el gobierno estableció cuatro estrategias: una recaudación de 5.8 BDP, mejorar la atención a los contribuyentes, fiscalización clara y Combate a las facturas falsas; en apoyo a estas determinantes, la UIF se dotó con nuevas facultades para combatir el lavado de dinero y el financiamiento al terrorismo, la medida más significativa es la autorización para congelar cuentas bancarias sin necesidad de una orden judicial previa cuando exista sospecha de actividades ilícitas.
Situación actual
El pasado 7 de agosto se publicó el Acuerdo 115/2026 en el DOF con las nuevas Reglas de carácter general de la LFPIORPI, misma que reforma las reglas antilavado en México que entrará en vigor el 30 de noviembre de 2026, esta reforma Adiciona 11 capítulos nuevos y traslada el eje del cumplimiento formal hacia la administración efectiva del riesgo.
Prevención
Cuando una empresa realiza alguna de las actividades expresas en al Art. 17 de la Ley, será considera como Actividad Vulnerable, entre ellas se encuentran: las notarías, inmobiliarias, joyerías, casas de empeño, blindaje, comercio de vehículos, prestación de servicios profesionales, entre otras; esta reforma cambia cómo se deben identificar clientes, evaluar riesgos, capacitar al personal y auditar el cumplimiento con fechas que ya están en marcha.
A quién aplica
El nuevo reglamento obliga a todas las personas jurídicas: físicas y morales, que realizan alguna de las actividades descritas en el Art. 17 de la LFPIORPI, abarcando un espectro muy amplio de sectores no financieros:
Servicios profesionales: Contadores, abogados, asesores que realicen operaciones en nombre de clientes
Fe pública: Notarios y corredores públicos
Bienes de alto valor: Joyerías, metales y piedras preciosas, obras de arte, vehículos, blindaje
Inmobiliario: Desarrolladores, venta de inmuebles, agentes y constructoras
Servicios financieros no bancarios: Casas de empeño, mutuo con garantía, tarjetas y monederos electrónicos
Activos virtuales: Plataformas de intercambio de criptoactivos
Asociaciones Civiles: Las asociaciones y sociedades sin fines de lucro cuyo fin preponderante sea recibir donativos quedan sujetas a medidas de prevención con enfoque de riesgo, con independencia de que sean o no consideradas Actividad Vulnerable conforme al artículo 17.
Qué son las Reglas de Carácter General y qué cambió
Las Reglas de Carácter General son las disposiciones administrativas que la SHCP cambió por conducto del SAT, se emite para volver operativa la LFPIORPI y su Reglamento, estas fijan que se dé cumplimiento al no lavado de dinero.
Actualizaciones relevantes
El Acuerdo adiciona 11 capítulos completos, esto son:
Enfoque Basado en Riesgos (EBR): Exige diseñar e implementar una metodología documentada para evaluar el riesgo de las operaciones de la empresa: clientes, transacciones y canales, considerando cuatro elementos mínimos, actividades u operaciones, tipo de clientes, países y áreas geográficas, y transacciones, para efectos de materialidad; esta información se debe conservarse diez años.
Manual de Políticas Internas con contenido mínimo obligatorio: Este debe contener 14 apartados obligatorios y debe elaborarse dentro de los 90 días naturales posteriores al alta del registro.
Mecanismos automatizados con seis funciones mínimas: Las Reglas de Carácter General definen seis funciones que estos mecanismos deben cumplir, desde agrupar operaciones por cliente hasta ejecutar el modelo de evaluación de riesgos y conservar diez años el histórico de cambios.
Auditoría anual de cumplimiento: Como parte de las auditorías se debe hacer una revisión anual con dictamen, calificación en cinco niveles y plazos de entrega definidos.
Conocimiento del cliente y Perfil transaccional: Se agrega el Perfil transaccional como elemento central del monitoreo con un sistema de alertas obligatorias que detecten desvíos del comportamiento esperado del cliente.
Clasificación por Grado de Riesgo de los clientes: Se debe contar con un clasificador de cada cliente que identifique tres niveles: bajo, medio, alto, y reevaluarlo cuando menos cada seis meses.
Beneficiario Controlador con orden de prelación: Debe existir un procedimiento obligatorio que identifique al beneficiario controlador, iniciando por quien posea el 25% o más del capital.
Capacitación anual obligatoria: Todo el personal clave en las operaciones, debe contar con un curso al año y guardar la evidencia por diez años.
Avisos por sospecha en 24 horas: Cuando exista sospecha, se debe dar aviso dentro de las 24 horas siguientes a detectar una conducta irregular, incluso si la operación no lograra concretarse.
Un dato de contexto relevante: El Acuerdo identifica como Actividades Vulnerables a los estándares del Grupo de Acción Financiera Internacional, lo que anticipa una supervisión más exigente hacia adelante.
Penas y Sanciones
El Art. 18 de la ley establece las obligaciones y las nuevas exigencias de la reforma, el régimen sancionador de la ley se basa en Unidades de Medida y Actualización (UMA), y se sanciona con multas que van de las 200 a las 2,000 UMA´s por cada obligación incumplida, lo anterior conforme a los artículos 53 y 54 de la Ley, cuando el incumplimiento se considere grave, las sanciones pueden llegar a las 65,000 UMA´s.
Calendario de cumplimiento
El Acuerdo escalona las obligaciones del reglamento a lo largo de casi dos años, no se be asumir que todo aplica a partir del 30 de noviembre de 2026, el calendario será:
30 de noviembre de 2026 Entrada en vigor del reglamento general
1 de enero de 2027 Inicia el primer periodo anual de capacitación
1 de marzo de 2027 Diseño del Manual de Políticas Internas, clasificación por Grado de Riesgo, conocimiento del cliente y Beneficiario Controlador
1 de junio de 2027 Definir los mecanismos automatizados de operación
30 de agosto de 2027 Disponible la consulta PEP 2.0 de la UIF
1 de enero de 2028 Inicia el primer periodo de auditorías
Por el momento queda pendiente se den a conocer las resoluciones de los formatos de envío de los nuevos avisos por sospecha (artículos 26 Bis y 26 Bis 1), estas fechas provienen de artículos transitorios del propio Acuerdo, se sugiere revisar texto oficial en el DOF antes de fijar las políticas internas.
Obligaciones de las personas jurídicas
El nuevo reglamento tiene diversas exigencias, entre las más relevantes se encuentran:
Manual de Políticas Internas: El reglamento incluye 14 con criterios de identificación y conocimiento de clientes, entre otros, por lo que las organizaciones deberán desarrollar un manual con estricto apego a derecho y en función de proteger sus intereses.
Modelo de clasificación de clientes: El modelo propuesto debe contener al menos tres grados de riesgo: reevaluación semestral, factores que incluye las fuentes de ingreso y los tipos de transacciones que identifiquen tipo, volumen, frecuencia, contrapartes, origen y destino de recursos.
Metodología de Enfoque Basado en Riesgos: Deben ser registros documentados por periodos anuales, su revisión también es anual o cada que ocurran nuevos riesgos o se actualice la Evaluación Nacional de Riesgos, se deben incluir KPI´s específicos para los delitos de los artículos 139 Quáter y 400 Bis del CPF.
Auditoría por periodo de 12 meses: Este periodo ocurre del 1 de enero al 31 de diciembre de cada año, el resultado se entregará el último día hábil de marzo del año siguiente. Quienes sean de riesgo alto requieren un auditor externo independiente certificado por la UIF; quienes sean de riesgo bajo o medio pueden dictaminar con su área interna.
Proceso de preparación
Como parte de la estrategia de preparación para no entrar en inconformidad al reglamento, de beberá agregar a los documentos normativos el proceso de inicio, en resumen, este proceso deberá contener:
El diagnostico preliminar: Esta actividad se considera crucial, ya que permitirá identificar las actividades vulnerables realizas y qué obligaciones nuevas se deberán atender según el perfil de riesgo.
Determinar la metodología EBR: Para identificar y definir perfiles transaccionales y calibrar alertas, se deberá definir la base metodológica, misma que deberá estar lista a más tardar el 1 de marzo del 27.
Creación del Manual de Políticas: Si aún no se cuenta con el respectivo manual, s deberá redactar y poner en marcha, si ya se cuenta con él sólo se deberá actualizar, es relevante recordar que deberá contar con los 14 apartados obligatorios.
Automatización: Antes del 1 de junio de 2027, deberán estar implementados los mecanismos de automatización que incluyan las seis funciones mínimas.
Capacitación: La organización deberá detallar un programa de capacitación anual, una vez implementadas las sesiones se deberá resguardar la evidencia correspondiente.
Auditoría: El programa correspondiente de auditoría deberá estar listo para el 1 de enero del 2028, en esta fecha dará inicio el primer periodo de auditorías.
Normalización
La administración del control de riesgo tendrá su respaldo en distintas normas, una de ellas que está aún por definir es la ISO-9001-2026, misma que entrará en vigor próximamente (de septiembre a noviembre de 2026), por otra parte y con fundamento en el Acuerdo 115/2016 que determina los enfoques de riesgo de operación, se basa en la ISO-31000, por otra parte, se deberá atender la ISO 27001 que regula la seguridad de la información y el cumplimiento normativo, este último regulado en el Art. 421 del CNPP; otra herramienta fundamental, será la implementación del Compliance metodológico antilavado. Estas herramientas no pueden trabajar de forma aislada, al contrario, integrarán una metodología integral que evitará duplicar controles y si identificar aspecto de riesgo.
Hoy las condiciones fiscales han cambiado y se debe estar atento a las disposiciones y al cumplimiento de la norma, caso contrario, las sanciones serán severas.
Deja una respuesta