México refuerza las obligaciones de prevención de lavado de dinero para las Actividades Vulnerables

Las nuevas disposiciones introducen un modelo integral de cumplimiento basado en riesgos, que contempla medidas reforzadas de debida diligencia para clientes de alto riesgo, monitoreo automatizado de operaciones, identificación y documentación del Beneficiario Controlador, así como revisiones periódicas de la efectividad de los programas de cumplimiento, bajo un esquema de implementación gradual.

Contexto y alcance de la reforma

El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo por el que se modifican las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (las “Reglas”).

Las nuevas disposiciones entrarán en vigor, de manera general, el 30 de noviembre de 2026. Sin embargo, su implementación será gradual y las principales obligaciones comenzarán a ser exigibles a partir de marzo de 2027, con etapas subsecuentes durante junio de 2027 y enero de 2028.

La reforma eleva de manera significativa los estándares de cumplimiento en materia de PLD/FT para quienes realizan Actividades Vulnerables. El cambio trasciende la actualización de expedientes y la presentación de avisos, para incorporar un modelo integral basado en riesgos, con obligaciones específicas de identificación y clasificación de clientes, debida diligencia reforzada, monitoreo de operaciones, identificación del Beneficiario Controlador, capacitación, controles tecnológicos y revisiones periódicas de la efectividad del programa de cumplimiento.

Con ello, el régimen aplicable a las Actividades Vulnerables se aproxima al enfoque de gestión de riesgos que tradicionalmente ha caracterizado al sector financiero, en línea con las Recomendaciones 22 y 23 del Grupo de Acción Financiera (GAFI).

¿Quiénes pueden verse impactados?

Las nuevas obligaciones pueden resultar aplicables a personas físicas y morales que, sin ser entidades financieras, desarrollen actividades que la legislación considera vulnerables. Entre ellas se encuentran quienes otorgan créditos o préstamos de manera habitual o profesional, así como quienes emiten o comercializan tarjetas de crédito, tarjetas de servicios, tarjetas prepagadas, monederos u otros instrumentos de almacenamiento de valor monetario.

El régimen también contempla, entre otros, a proveedores de servicios de Activos Virtuales, desarrolladores, comercializadores e intermediarios inmobiliarios, comercializadores de vehículos, joyas, obras de arte y otros bienes de alto valor, así como a determinados prestadores de servicios profesionales relacionados con operaciones corporativas, administración de activos y constitución, operación o administración de personas morales, vehículos jurídicos o fideicomisos.

En términos prácticos, la reforma implica que las empresas sujetas al régimen deberán pasar de un esquema centrado principalmente en la integración documental y el cumplimiento formal, a un modelo de cumplimiento permanente, medible y basado en el nivel de riesgo de sus clientes, operaciones y actividades.

Quienes realicen Actividades Vulnerables deberán cumplir, entre otras, con las siguientes obligaciones:

• Diseñar e implementar un programa de cumplimiento en materia de prevención de lavado de dinero (PLD), basado en un enfoque de riesgos.
• Identificar, conocer y clasificar a sus clientes y usuarios de acuerdo con su nivel de riesgo, aplicando las medidas de debida diligencia que correspondan en cada caso.
• Identificar a las Personas Políticamente Expuestas (“PEP”) y aplicar las medidas y controles reforzados que correspondan conforme a su nivel de riesgo.
• Establecer, documentar y reevaluar periódicamente los perfiles transaccionales de sus clientes y usuarios, de acuerdo con su actividad y comportamiento esperado.
• Monitorear de manera continua las operaciones de sus clientes y usuarios, a fin de identificar aquellas que se aparten de su comportamiento transaccional esperado y, en su caso, determinar las acciones procedentes.
• Identificar al Beneficiario Controlador y documentar el procedimiento y los elementos utilizados para determinar su identidad y condición.
• Elaborar, implementar y mantener actualizado un Manual de Políticas Internas en materia de PLD (el “Manual PLD”), acorde con las características, actividades y nivel de riesgo de la persona que realiza la Actividad Vulnerable.
• Implementar mecanismos y herramientas automatizadas que permitan, de acuerdo con la naturaleza y nivel de riesgo de la actividad, administrar los expedientes, clasificar y actualizar los niveles de riesgo, monitorear operaciones y generar las alertas correspondientes.
• Presentar los avisos de 24 horas cuando se actualicen los supuestos previstos en la normativa aplicable respecto de operaciones, hechos o conductas que generen sospecha, indicios o certeza de que los recursos pudieran provenir o estar destinados a alguna actividad ilícita; operaciones intentadas, así como coincidencias con las listas correspondientes.
• Impartir capacitación y actualización periódica en materia de PLD a consejeros, directivos y demás personal relevante, de acuerdo con las funciones y responsabilidades que desempeñen.
• Establecer y aplicar procedimientos para la selección y contratación del personal relevante, considerando criterios relacionados con su experiencia, conocimientos y confiabilidad.
• Realizar, al menos anualmente, una evaluación de la efectividad del programa de cumplimiento en materia de PLD, mediante auditorías internas o externas, según corresponda al nivel de riesgo de quien realiza la Actividad Vulnerable.
• Cumplir con las reglas y obligaciones específicas aplicables a determinadas Actividades Vulnerables, atendiendo a la naturaleza particular de cada actividad.
• Tratándose de proveedores de servicios de Activos Virtuales previamente registrados, deberán actualizar la información corporativa, accionaria, operativa y relativa al Beneficiario Controlador prevista en el artículo 10 Bis, a más tardar el 30 de mayo de 2027.

Implementación gradual

Las principales fechas y plazos previstos para la implementación de las nuevas obligaciones son los siguientes:

• 30 de noviembre de 2026: entrada en vigor de las Reglas, con carácter general.
• 1 de enero al 31 de diciembre de 2027: primer periodo anual para la implementación y acreditación de las obligaciones de capacitación.
• 1 de marzo de 2027: la evaluación inicial de riesgos a nivel de negocio y el Manual PLD actualizado deberán encontrarse elaborados y disponibles para su presentación a las autoridades cuando estas lo requieran. A partir de esta fecha serán aplicables a las operaciones realizadas los nuevos requisitos relativos a la clasificación de clientes por grado de riesgo, perfiles transaccionales y debida diligencia reforzada, así como los procedimientos actualizados para la identificación del Beneficiario Controlador.
• 1 de marzo de 2027: los nuevos procedimientos para la selección de personal serán aplicables a las nuevas contrataciones.
• 30 de mayo de 2027: fecha límite para que los proveedores de servicios de Activos Virtuales previamente registrados actualicen y presenten la información corporativa, accionaria, operativa y de Beneficiario Controlador prevista en las Reglas.
• 1 de junio de 2027: fecha límite para la implementación de los mecanismos automatizados de monitoreo.
• 30 de julio de 2027: fecha límite para que se encuentre disponible el sistema tecnológico relacionado con las notificaciones electrónicas, de conformidad con el periodo transitorio de ocho meses.
• 30 de agosto de 2027: fecha a partir de la cual estará disponible la aplicación Consulta PEP 2.0, conforme al periodo transitorio de nueve meses.
• 1 de enero al 31 de diciembre de 2028: primer periodo anual para la revisión de la efectividad del cumplimiento.
• Último día hábil de marzo de 2029: fecha límite para la presentación del primer dictamen anual de cumplimiento derivado de la auditoría correspondiente.

Avisos de 24 horas: estos podrán comenzar a presentarse una vez transcurridos seis meses desde la entrada en vigor de la resolución que modifique los formatos oficiales aplicables.

Consideraciones para la implementación

La implementación de las nuevas Reglas requerirá una coordinación integral e interdisciplinaria, a fin de asegurar que las modificaciones regulatorias se traduzcan en procesos, controles y herramientas operativas efectivas.

En este sentido, quienes realicen Actividades Vulnerables deberán coordinar, entre otras, las siguientes áreas y acciones:

• Jurídico y Cumplimiento: realizar un diagnóstico de las brechas regulatorias; actualizar la metodología de evaluación de riesgos; establecer criterios para la clasificación de clientes; definir los estándares de debida diligencia y debida diligencia reforzada; actualizar el Manual PLD, así como establecer los criterios y procedimientos para la presentación de avisos.
• Tecnología y Datos: adecuar la arquitectura y estructura de datos de clientes; asegurar la consolidación e integridad de la información transaccional; implementar herramientas y motores de evaluación de riesgos; desarrollar mecanismos para la generación y gestión de alertas; garantizar la conservación de registros y evidencias, y establecer mecanismos que permitan la trazabilidad de las operaciones y de las acciones realizadas para efectos de auditoría y supervisión.
• Operaciones y Negocio: adecuar los procesos de vinculación y conocimiento del cliente; incorporar la clasificación de riesgo y los perfiles transaccionales en los procesos operativos; implementar los controles derivados de la debida diligencia reforzada y establecer mecanismos para la identificación y escalamiento de operaciones inusuales o que se aparten del comportamiento esperado.
• Recursos Humanos: actualizar los procedimientos de selección, contratación y evaluación del personal relevante, así como implementar los programas de capacitación y actualización en materia de PLD.
  Auditoría y Control Interno: establecer mecanismos de seguimiento y evaluación periódica de la efectividad del programa de cumplimiento, así como preparar la documentación y evidencia necesarias para las revisiones internas, externas y, en su caso, para la elaboración del dictamen anual de cumplimiento.

La implementación deberá realizarse de manera ordenada y progresiva, priorizando aquellas obligaciones cuyo cumplimiento tenga una fecha de entrada en vigor más próxima y aquellas que requieran modificaciones estructurales a los procesos, sistemas y controles existentes.

RSM TE APOYA EN EL CUMPLIMIENTO.