Publicación de modificaciones integrales a las Reglas de Carácter General de la LFPIORPI

El 7 de agosto de 2026 se publicó, en el Diario Oficial de la Federación (DOF), el Acuerdo 115/2026 por el que se modifican las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), en adelante “las RCG”, que tienen por objeto establecer las medidas y los procedimientos mínimos que deben observar quienes realizan Actividades Vulnerables.

Las RCG constituyen el instrumento normativo de aplicación operativa a detalle sobre el régimen de prevención de lavado de dinero, complementando la LFPIORPI y su Reglamento, que con sus modificaciones reflejan la transición a un modelo más robusto de cumplimiento basado en la gestión integral de riesgos.

El Acuerdo modifica de manera amplia esta normativa, reformando numerosos artículos existentes y adicionando varios capítulos, particularmente en materia de enfoque basado en riesgos, clasificación de clientes, beneficiario controlador y auditoría. A continuación, enunciamos sus principales modificaciones:

• Enfoque basado en riesgos (EBR). Se adiciona el Capítulo II Quáter, que obliga a diseñar e implementar una metodología formal para evaluar los riesgos derivados de sus actos u operaciones, tipo de clientes o personas usuarias, países y áreas geográficas, sus transacciones y sus canales de envío o distribución. Dicha metodología deberá incorporar indicadores, específicos tanto de PLD como de FT para cada uno de los elementos de riesgo.

Dicha metodología deberá revisarse y actualizarse cuando se detecten nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos, o en un plazo no mayor a 12 meses. Asimismo, la información y documentación que la sustente deberá conservarse por al menos 10 años. 

En la implementación de la metodología se deberá considerar información de al menos 12 meses. En el caso de no contar con operaciones, deberá implementarse inicialmente con datos proyectados, debiendo actualizarla al cumplir sus primeros 12 meses de operación.

• Identificación de la persona cliente o usuaria. Se reforma el Capítulo III (artículos 11 a 23), relativo a la integración del expediente único de identificación de cada persona cliente o usuaria que deberá integrarse de manera previa o durante la realización del acto u operación, o antes o al momento de establecer una relación de negocios, con los datos y documentos según el tipo de cliente (persona física, persona moral, persona moral de derecho público, embajadas u organismos internacionales, o fideicomisos), incluyendo, en su caso, los datos del beneficiario controlador. El capítulo ahora se articula expresamente con los nuevos capítulos de enfoque de riesgo: las medidas simplificadas de identificación para clientes de bajo riesgo, y el expediente completo para clientes de riesgo medio, quedan condicionados a los criterios de clasificación de riesgo y a la política de conocimiento del cliente. Asimismo, se mantiene la obligación de verificar, al menos una vez al año, que los expedientes se encuentren completos y actualizados.
• Clasificación del grado de riesgo de la persona cliente o usuaria. Se adiciona el Capítulo III Bis, en el que se establece la obligación de contar con un modelo de evaluación de riesgos coherente con la metodología del EBR, para clasificar a los clientes o usuarias en al menos tres niveles (bajo, medio y alto), pudiendo establecer varios grados de riesgo intermedio. El modelo deberá considerar características inherentes y transaccionales. La evaluación del grado de riesgo de cada cliente deberá revisarse, cuando menos, cada seis meses y la frecuencia de la evaluación deberá ser mayor cuando la clasificación del grado de riesgos también lo sea.
• Conocimiento de la persona cliente o usuaria. Se adiciona el Capítulo III Ter, que exige elaborar y observar una política de conocimiento del cliente que incluya, entre otros elementos, procedimientos de monitoreo y determinación del perfil transaccional inicial. Se exige, además, contar con un sistema de alertas que permita detectar oportunamente desviaciones del comportamiento o perfil transaccional del cliente. Asimismo, realizar una evaluación del perfil transaccional al menos cada seis meses a fin de determinar si resulta o no necesario modificarlo.
• Personas Políticamente Expuestas (PEP). El nuevo Capítulo III Quáter consolida la definición de PEP, extendiéndola a familiares dentro del segundo grado y a socios con vínculos patrimoniales, y precisa el periodo posterior al cese del cargo durante el cual la persona conserva dicho carácter. Se establece la obligación de consultar la aplicación "Consulta PEP 2.0" de la UIF mediante Firma Electrónica Avanzada, mecanismo cuya consulta, conforme al Acuerdo, podrá realizarse nueve meses después de la entrada en vigor del Acuerdo. Asimismo, se deben aplicar factores de riesgo adicionales a las Personas Políticamente Expuestas (PEP) mexicanas para determinar su grado de riesgo y verificar que su comportamiento transaccional sea congruente con sus ingresos, funciones, nivel de responsabilidad y la información disponible sobre ellas.
• Beneficiario controlador. Se adiciona el Capítulo III Quinquies, que establece un orden de prelación específico para la identificación del beneficiario controlador de clientes o usuarias que sean personas morales, comenzando por la titularidad accionaria del 25% o más. Para el caso de fideicomisos, se detalla expresamente el criterio de control efectivo aplicable a fiduciarios, fideicomitentes, fideicomisarios y órganos técnicos equivalentes, así como la obligación de ascender en la cadena de titularidad cuando dichas personas sean, a su vez, personas morales o estructuras jurídicas. El Acuerdo también contempla excepciones a la obligación de recabar dichos datos; por ejemplo, respecto de emisoras bursátiles que proporcionen su clave de pizarra, o de ciertas personas morales previstas en Anexos específicos.
• Manual de Políticas Internas. El Manual de Políticas Internas deberá contener, por lo menos, 14 elementos expresamente enumerados en el nuevo artículo 37 Bis; entre ellos, los criterios de identificación de clientes, los mecanismos de clasificación de riesgo, los procedimientos para PEP, los mecanismos de detección de desviaciones del perfil transaccional y los mecanismos de control interno, supervisión y auditoría. Se precisa además un régimen de exención documentada para actividades que el sujeto obligado decida no realizar.
• De los mecanismos de prevención. Se adiciona el Capítulo XI (artículos 38 a 38 Bis 2). La UIF establecerá mecanismos de prevención para que quienes realicen Actividades Vulnerables eviten ser utilizados en la comisión de los delitos previstos en los artículos 1 y 19 del Reglamento, pudiendo utilizar las listas que emitan autoridades nacionales u organismos internacionales oficialmente reconocidos, mismos mecanismos que se darán a conocer directamente o a través de los órganos desconcentrados competentes. Adicionalmente, la UIF deberá aplicar medidas proporcionales y con enfoque basado en riesgo, relacionadas con el delito previsto en el artículo 139 Quáter del Código Penal Federal, a las asociaciones y sociedades sin fines de lucro cuyo fin preponderante sea recibir donativos o destinar fondos para fines caritativos, religiosos, culturales, educativos, sociales o filantrópicos, quienes deberán cumplir con dichas medidas con independencia de que sean consideradas Actividad Vulnerable, mismas que deberán incluir, por lo menos, programas de capacitación y difusión para mitigar el riesgo de uso indebido, así como el monitoreo de actos u operaciones relacionados con donantes o países de alto riesgo respecto de dicho delito.
• Avisos e informes. La reforma al Capítulo IV actualiza las reglas para la presentación de Avisos e Informes, estableciendo el uso obligatorio de medios electrónicos y de la Firma Electrónica Avanzada vinculada al RFC del sujeto obligado. Asimismo, se precisan los momentos a partir de los cuales deberá computarse el plazo para presentar los Avisos, así como las reglas aplicables cuando los actos u operaciones alcancen los umbrales correspondientes, ya sea de forma individual o acumulada. Adicionalmente, se incorporan disposiciones específicas para operaciones con tarjetas, desarrollos inmobiliarios y activos virtuales, incluyendo requisitos de información y conservación documental. También se mantiene la obligación de presentar informes de no operación y se regulan los Avisos por sospecha, hechos o indicios, los cuales deberán enviarse dentro de las 24 horas siguientes a su identificación, aun cuando la operación no se haya celebrado o no alcance el umbral aplicable.
• Mecanismos automatizados. Se adiciona inciso XI Ter en el artículo 2, definiendo lo que se entenderá por mecanismos automatizados. Asimismo, el artículo 41 se reforma para detallar seis funciones mínimas que deben desarrollar los mecanismos automatizados, incluyendo la conservación y actualización de expedientes; agrupación, monitoreo, identificación de desviaciones del perfil transaccional y acumulación de operaciones; proveer la información para la implementación de la Metodología del EBR; ejecución del modelo de evaluación de riesgos de clientes o usuarios, con conservación de registros históricos por un periodo no menor a 10 años, tanto de las modificaciones en el grado de riesgo como en el perfil transaccional; ejecutar un sistema de alertas respecto de operaciones relacionadas con clientes de alto riesgo, PEPs, listas de vigilancia y jurisdicciones de riesgo y el monitoreo de uso de efectivo y metales preciosos.
• Auditoría. El Capítulo XIV (artículos 42 a 51) desarrolla íntegramente el régimen de auditoría anual, aplicable del 1 de enero al 31 de diciembre de cada año. El tipo de auditor exigible (interno o externo independiente) depende de si el nivel de riesgo del sujeto obligado es bajo/medio o alto, conforme a la metodología del Capítulo II Quáter, y el auditor externo debe cumplir requisitos específicos, incluyendo contar con certificación vigente otorgada por la UIF. El dictamen deberá seguir una estructura mínima de siete secciones y calificar el cumplimiento de cada obligación conforme a cinco niveles ("Cumple", "Cumple mayoritariamente", "Cumple parcialmente", "No cumple" y "No aplica"), y deberá incluir una proyección económica del monto de las posibles multas asociadas a los hallazgos no atendidos.
• Fideicomisos y otras figuras jurídicas. Se adiciona el Capítulo II Ter, que establece un procedimiento específico —mediante un archivo en formato XML disponible en el Portal en Internet— para el alta, baja y modificación de integrantes de fideicomisos u otras figuras jurídicas1.53, complementado con los nuevos Anexos 2 Bis y 2 Ter que detallan los datos de identificación requeridos.
• Capacitación y selección de personal. Se incorpora el Capítulo XII, que establece obligaciones para implementar programas anuales de capacitación en materia de prevención de lavado de dinero, dirigidos a órganos de administración, directivos, funcionarios, responsables de cumplimiento y personal involucrado en la atención al público, identificación de clientes, presentación de Avisos o auditoría. Dichos programas deberán alinearse con la metodología de riesgo del sujeto obligado y ser impartidos por personas con experiencia mínima de cinco años en la materia. Asimismo, se prevé la obligación de conservar evidencia documental por al menos 10 años, aplicar evaluaciones para emitir constancias y establecer medidas internas ante resultados no satisfactorios. Adicionalmente, se incorporan obligaciones relacionadas con la selección de personal, a fin de garantizar su calidad técnica, experiencia y honorabilidad, incluyendo declaraciones sobre antecedentes laborales, sentencias por delitos patrimoniales e inhabilitaciones para ejercer actividades comerciales, públicas o financieras.

El Acuerdo entra en vigor, como regla general, el 30 de noviembre de 2026. No obstante, ciertas obligaciones cuentan con plazos diferenciados:

• La evaluación con enfoque basado en riesgo deberá estar a disposición de la autoridad, previo requerimiento a partir del 1 de marzo de 2027.
• El Manual de Políticas Internas actualizado con la metodología de riesgo será exigible, para quienes ya hayan concluido el plazo de 90 días siguientes desde su alta y registro a partir del 1 de marzo de 2027 y deberá ponerse a disposición de las autoridades competentes previo requerimiento.
• Los Capítulos III Bis, III Ter y III Quinquies que establecen respectivamente la clasificación de riesgo de clientes y usuarios, las medidas de conocimiento del cliente y la identificación del beneficiario controlador serán observables respecto de actos u operaciones realizados a partir del 1 de marzo de 2027.
• Los nuevos procedimientos de selección de personal aplicarán a las nuevas contrataciones realizadas a partir del 1 de marzo de 2027.
• El primer periodo anual de capacitación conforme al nuevo esquema correrá del 1 de enero al 31 de diciembre de 2027.
• El primer periodo de auditoría iniciará el 1 de enero de 2028 y concluirá el 31 de diciembre del mismo año.
• Se deberá contar con mecanismos automatizados a más tardar el 1 de junio 2027 y deberán contener la información de los actos u operaciones realizados a partir de esa fecha.
• La consulta de PEPs mediante la aplicación electrónica podrá realizarse nueve meses después de la entrada en vigor del Acuerdo; y quienes realicen la Actividad Vulnerable de activos virtuales deberán actualizar cierta información dentro de los seis meses siguientes a la entrada en vigor.
• La obligación de presentar los avisos relacionados con operaciones sospechosas y con hechos o indicios que pudieran estar vinculados con recursos de procedencia ilícita será aplicable seis meses después de que la autoridad publique la actualización de los formatos oficiales que contemple expresamente este tipo de avisos.

Dado el carácter escalonado de la entrada en vigor del Acuerdo, conviene priorizar aquellas obligaciones con plazos transitorios más próximos, Recomendamos realizar un diagnóstico preliminar de brechas frente a las nuevas obligaciones, actualizar el Manual de Políticas Internas y definir un plan de implementación conforme a los plazos aplicables, sin perjuicio de que el análisis detallado de cada disposición y su aplicación al caso concreto de cada sujeto obligado sea validado con el equipo legal correspondiente. 

En caso de requerir información adicional respecto al contenido de este EY Law Flash, favor de contactar a nuestro equipo de profesionales: