Nuevas Reglas de Carácter General de la LFPIORPI: análisis completo del Acuerdo 115/2026

Este artículo desglosa qué cambia, cuándo aplica cada obligación y qué tiene que hacer un sujeto obligado a partir de hoy. Es la continuación natural de nuestro análisis de predicciones sobre las RCG: varias apuestas ahí planteadas se confirmaron, otras cambiaron de forma.

1. Lo primero: el calendario

El error más caro que se puede cometer con este acuerdo es asumir que todo aplica desde ya. No es así. El Transitorio Primero establece la entrada en vigor el 30 de noviembre de 2026, y los transitorios Segundo a Décimo Segundo escalonan las obligaciones pesadas hasta 2029.

Fecha	Obligación	Fundamento
30 nov 2026	Entrada en vigor general. Definición y catalogación de PEP. Notificaciones electrónicas. Alta y registro de fideicomisos. Nuevos anexos de identificación.	Transitorio Primero
1 mar 2027	Evaluación con enfoque basado en riesgos disponible a requerimiento (con información del año anterior).	Transitorio Segundo
1 mar 2027	Manual de Políticas Internas con metodología de evaluación de riesgos.	Transitorio Tercero
1 mar 2027	Clasificación del grado de riesgo del cliente (Cap. III Bis), conocimiento del cliente (Cap. III Ter) e identificación del beneficiario controlador (Cap. III Quinquies).	Transitorio Cuarto
1 mar 2027	Procedimientos de selección de personal (nuevas contrataciones).	Transitorio Sexto
30 may 2027	PSAV ya registrados: actualizar y entregar la información del Art. 10 Bis.	Transitorio Décimo Segundo
1 jun 2027	Mecanismos automatizados del Capítulo XIII operando.	Transitorio Noveno
30 jul 2027	Sistema de notificaciones electrónicas implementado por la SHCP.	Transitorio Décimo Primero
30 ago 2027	Habilitación de la aplicación Consulta PEP 2.0.	Transitorio Décimo
1 ene – 31 dic 2027	Primer periodo anual de capacitación.	Transitorio Séptimo
1 ene – 31 dic 2028	Primer periodo de revisión de auditoría. Dictamen a más tardar último día hábil de marzo 2029.	Transitorio Octavo, Art. 50
Por definir	Avisos de 24 horas: 6 meses después de que salga la Resolución que modifique los formatos oficiales.	Transitorio Quinto

Dos detalles del calendario que conviene leer dos veces

La evaluación de riesgos de marzo de 2027 se construye con datos de 2026. El Transitorio Segundo es explícito: la información y factores considerados corresponderán al año inmediato anterior. Eso significa que la materia prima de la primera evaluación se está generando en este momento. Quien no tenga su bitácora de operaciones estructurada durante 2026 llegará a marzo de 2027 sin insumos para elaborarla.

Hay un hueco de nueve meses en la consulta de PEP. El Capítulo III Quáter, que define quién es Persona Políticamente Expuesta y obliga a catalogarla, entra en vigor con el Acuerdo el 30 de noviembre de 2026. Pero la aplicación Consulta PEP 2.0 de la UIF no se habilita sino hasta nueve meses después. Durante ese periodo el sujeto obligado debe identificar PEP sin la herramienta oficial.

2. Enfoque basado en riesgos: de principio a metodología verificable

El nuevo Capítulo II Quáter (artículos 10 Septies a 10 Septies 6) desarrolla el Art. 18 fracción VII de la Ley. Y deja de ser un principio orientador para convertirse en un entregable con requisitos concretos.

Qué debe contener la metodología

El artículo 10 Septies 1 exige tres componentes:

• Identificación de elementos e indicadores. Como mínimo cuatro elementos: los actos u operaciones, el tipo de personas clientes o usuarias, los países y áreas geográficas, y las transacciones y canales de envío o distribución.
• Método de medición. Debe establecer una relación entre cada indicador y el elemento al que pertenece, asignando valores de manera consistente en función de su importancia. No basta con un semáforo cualitativo: la regla habla de asignar valor a indicadores y a elementos.
• Identificación de mitigantes. Todas las políticas, criterios, medidas y procedimientos internos previstos en el Manual, considerando además su efectiva aplicación, para establecer el efecto que tienen sobre los indicadores y elementos de riesgo.

Adicionalmente, la metodología debe incluir indicadores específicos relacionados con los artículos 139 Quáter y 400 Bis del Código Penal Federal —financiamiento al terrorismo y operaciones con recursos de procedencia ilícita— para cada uno de los elementos de riesgo.

Requisitos de implementación

El artículo 10 Septies 2 exige consistencia entre la información que alimenta la metodología y la que obra en los mecanismos automatizados, y fija un piso de datos: al menos el total de clientes, número de actos u operaciones y monto operado de un periodo no menor a doce meses. Quien no tenga esa historia usa datos proyectados y actualiza al cumplir los primeros doce meses de operación.

Cuando la implementación revele riesgos nuevos o mayores, hay que modificar políticas y mitigantes en un plazo máximo de doce meses contados desde que se tienen los resultados identificados.

Actualización y facultades del SAT

La metodología se revisa y actualiza al detectar nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos que publique la UIF, o cada doce meses como máximo. Todo debe constar por escrito y conservarse diez años.

El artículo 10 Septies 3 le da al SAT una facultad relevante: puede revisar la metodología, señalar los ajustes necesarios y solicitar un plan de acción con medidas reforzadas. Uno de los supuestos expresos es que el procedimiento y criterios para abrir, limitar o terminar una relación comercial no sean congruentes con la metodología.

3. Clasificación del grado de riesgo del cliente

El nuevo Capítulo III Bis obliga a contar con un modelo de evaluación que clasifique a cada cliente individualmente y que sea coherente con la metodología del Capítulo II Quáter. El modelo va en el Manual.

Se exigen al menos tres grados —bajo, medio y alto— con posibilidad de agregar intermedios. La clasificación inicial se hace con la información que proporciona el cliente, y la reevaluación debe practicarse al menos cada seis meses, con mayor frecuencia mientras más alto sea el grado.

Los factores se agrupan en dos familias (Art. 23 Bis 2): características inherentes (antecedentes, tipo de persona, fecha de nacimiento o constitución, giro, nacionalidad, residencia, fuentes de ingreso, naturaleza y propósito de la relación) y características transaccionales (tipo, volumen, frecuencia y monto de operaciones, número de contrapartes, origen y destino de recursos, instrumento monetario y moneda).

El cambio que reorganiza toda la debida diligencia

Hasta hoy, las medidas simplificadas y el expediente completo se aplicaban con criterios propios de cada sujeto obligado. El Acuerdo 115/2026 ata formalmente el nivel de diligencia al grado de riesgo:

• Riesgo bajo habilita medidas simplificadas (Art. 17), pero exige que los documentos se presenten en original o copia certificada por fedatario, y que los criterios de clasificación consten en el Manual.
• Riesgo medio obliga al expediente único completo del Art. 12. Esto lo establece el nuevo Art. 17 Bis, y es probablemente el cambio con mayor impacto operativo inmediato para la mayoría de los sujetos obligados.
• Riesgo alto activa el régimen reforzado del Art. 23 Ter 4.

Riesgo alto obligatorio

El artículo 23 Bis 4 fija dos supuestos en los que la clasificación como riesgo alto no es discrecional: clientes no residentes en México vinculados con jurisdicciones consideradas de regímenes fiscales preferentes o señaladas como deficientes en materia PLD/FT, y todas las Personas Políticamente Expuestas extranjeras. La UIF publicará la lista de países en el Portal en Internet.

En esos casos hay que recabar información sobre las razones por las que el cliente celebró la operación en territorio mexicano.

4. Conocimiento del cliente, perfil transaccional y sistema de alertas

El Capítulo III Ter desarrolla el Art. 18 fracción I de la Ley y crea la obligación de una política de conocimiento del cliente con cinco componentes mínimos: mitigantes ajustados a los resultados de la metodología, procedimientos de seguimiento y monitoreo, procedimientos para conocer el perfil transaccional, supuestos de desviación del perfil, y criterios para modificar el grado de riesgo.

Perfil transaccional

El Art. 3 fracción XI Sexties lo define por seis elementos: monto, frecuencia, zona o área geográfica, origen y destino de recursos, actividad económica y demás circunstancias relevantes.

Para determinarlo, el artículo 23 Ter 1 establece una mecánica concreta. Durante los primeros seis meses siguientes a la operación, se usa la información que el propio cliente proporcione sobre los montos máximos mensuales que estima realizar, y ese perfil inicial debe estar incluido en el sistema de alertas para detectar inconsistencias entre lo declarado y lo efectivamente operado. Después, la evaluación del perfil se practica al menos cada seis meses.

Para clientes de operación única que extinguen la relación en ese acto, el perfil se integra con la información de esa sola operación.

Sistema de alertas

El artículo 23 Ter 2 lo vuelve obligatorio: debe permitir el seguimiento y la detección oportuna de cambios en el comportamiento o el perfil transaccional que permitan prevenir o detectar operaciones ubicables en los artículos 139 Quáter o 400 Bis del Código Penal Federal.

Medidas reforzadas para riesgo alto

El artículo 23 Ter 4 detalla qué implica el régimen reforzado. Para personas físicas: medidas reforzadas sobre origen y destino de recursos, y datos del cónyuge, dependientes económicos y sociedades con vínculos patrimoniales. Para personas morales: mayor información de accionistas y socios, con obligación de consultar los registros electrónicos de la Secretaría de Economía para verificar lo declarado. Para PEP extranjeras, ambos regímenes.

Además, el artículo 23 Ter 3 exige aplicar cuestionarios de identificación específicos a clientes de riesgo alto, que pueden realizarse de forma remota siempre que lleven Firma Electrónica.

Cuando el cliente sea PEP y de riesgo alto, el artículo 23 Ter 5 exige la aprobación de un directivo o equivalente antes de celebrar la operación. Si quien realiza la actividad vulnerable es persona física, se sustituye por una constancia motivada.

5. Personas Políticamente Expuestas

El nuevo Capítulo III Quáter define el universo PEP con amplitud: jefes de estado o de gobierno, líderes políticos, funcionarios gubernamentales, judiciales o militares de alta jerarquía, altos ejecutivos de empresas estatales, funcionarios o miembros importantes de partidos políticos y de organizaciones internacionales, tanto nacionales como extranjeros.

Se asimilan a PEP el cónyuge, la concubina o concubinario, el parentesco por consanguinidad o afinidad hasta el segundo grado, y los socios o asociados de personas morales con las que mantengan vínculos patrimoniales.

Hay dos reglas temporales que conviene tener claras. Un ex funcionario sigue siendo PEP nacional durante el año siguiente a dejar el cargo. Y si una persona dejó de ser PEP dentro del año inmediato anterior a la fecha en que pretende operar, debe catalogarse como PEP durante el año siguiente a esa operación.

Consulta PEP 2.0

El artículo 23 Quáter 1 establece el mecanismo: ingresar a la aplicación Consulta PEP 2.0 en el sitio de la UIF con la misma e.firma usada para el alta y registro. Las entidades financieras pueden solicitar acceso por escrito libre suscrito por el representante legal y el oficial de cumplimiento, y solo se habilita a quienes cumplan sus obligaciones PLD.

El nuevo Anexo 10 detalla la información que las autoridades deben cargar a la aplicación sobre servidores públicos, incluyendo domicilio, fechas de alta y baja en el puesto y datos de sus dependientes económicos.

6. Beneficiario controlador: cascada en tres pasos

El Capítulo III Quinquies alinea el régimen mexicano con el estándar GAFI mediante un orden de prelación expreso (Art. 23 Quinquies):

1. Identificar a la persona física o grupo que directa o indirectamente adquiera, sea titular o posea el 25% o más del capital social o parte social.
2. Si no se llega ahí, identificar a quien tenga el control por otros medios, con funciones relacionadas con la estrategia, toma de decisiones y dirección de las principales políticas.
3. Si tampoco, identificar a quien ocupa la posición de funcionario administrativo de mayor grado o de alta dirección.

Consistentemente, el Art. 3 fracción IV baja a más del veinticinco por ciento el umbral de derechos de voto que configura control efectivo. Nuestra guía práctica de beneficiario controlador explica cómo se aplica en operaciones reales.

Fideicomisos

El artículo 23 Quinquies 1 define como beneficiario controlador a cualquier persona física que en última instancia ejerza control efectivo sobre el fideicomiso, y enumera los caracteres posibles: fiduciarios, fideicomitentes, fideicomisarios, protectores y miembros del comité técnico u órgano equivalente. Cuando esos actores sean personas morales, hay que ascender en la cadena de titularidad y control hasta llegar a la persona física.

La identificación debe hacerse con carácter previo a la operación o, a más tardar, al establecer la relación de negocios. Y hay que documentar el procedimiento seguido, no solo el resultado.

Excepciones

El artículo 23 Quinquies 2 exime de recabar datos del beneficiario controlador en dos casos: clientes que coticen en bolsa mexicana o en mercados del exterior reconocidos —proporcionando la clave de pizarra— y personas morales de derecho público listadas en los Anexos 4 Bis, 6 Bis, 7-A y 7 Bis-A.

7. Avisos e informes: el bloque más operativo

El Capítulo IV se reescribe casi por completo. Para quien opera el día a día del cumplimiento, aquí está el mayor volumen de cambios prácticos.

Fecha del acto u operación (Art. 24 Bis)

Por primera vez las reglas definen, fracción por fracción, qué fecha dispara el cómputo del plazo del Art. 23 de la Ley. Algunos ejemplos:

• Fracción I (juegos y sorteos): cuando se liquida la venta del boleto o se entrega el premio, alcanzando el umbral.
• Fracción II inciso a) (tarjetas de crédito y servicios): el último día del mes del consumo mensual.
• Fracción V Bis (desarrollo inmobiliario): aquella en que se recibió y destinó la última aportación en el mes calendario.
• Fracción XI (servicios profesionales): aquella en que el prestador realiza la operación financiera por instrucción del cliente.
• Fracción XV (arrendamiento) y las demás listadas: cuando se liquida la operación y se alcanza el umbral.

Un aviso por operación, con dos consolidaciones (Art. 24 Bis 1)

La regla general es un aviso por cada acto u operación que en lo individual o por acumulación cumpla el umbral. Con dos excepciones útiles: en tarjetas de servicio o crédito, el acto es el gasto mensual acumulado; y en desarrollo inmobiliario es posible enviar un solo aviso con todos los actos del mes calendario, siempre que los recursos se apliquen al mismo desarrollo y no se rebase el plazo del Art. 23 respecto de cada recepción.

Activos virtuales (Arts. 24 Bis 2 a 24 Bis 5)

El régimen de la fracción XVI queda desarrollado con detalle. La información mínima por operación incluye, del originante, receptor y en su caso beneficiario controlador: nombre o razón social, país de residencia e identificador de cuenta, dirección digital o wallet de origen y destino. Y por cada operación: fecha y hora, tipo de activo virtual, monto expresado en activos virtuales y su equivalente en moneda nacional, tipo de operación y comisión cobrada. Conservación por diez años.

Se definen dos conceptos que estaban en disputa. Custodia o almacenamiento es proveer servicios o plataformas que permitan mantener control, salvaguarda o administración de activos virtuales o de los instrumentos que habiliten su disposición, por cuenta y a nombre del cliente. Facilitación o intermediación es proveer infraestructura, interfaces o plataformas que conecten, concilien o empareje operaciones, aun cuando no se mantenga el control de los activos ni se participe más allá de la intermediación de flujos en moneda nacional o divisas.

La mecánica de umbrales duales del artículo 24 Bis 5 resuelve una ambigüedad frecuente:

• Si la operación alcanza 210 veces el valor diario de la UMA pero la contraprestación es menor a 4 UMA, se avisa solo por el inciso a).
• Si la contraprestación alcanza 4 UMA pero la operación es menor a 210 UMA, se avisa solo por el inciso b).
• Si se cumplen ambos, se presenta un solo aviso, correspondiente al inciso a).

Las contraprestaciones se determinan de forma individual por transacción y no se acumulan.

Copropiedad en arrendamiento (Art. 24 Bis 6)

Cuando el uso o goce de un inmueble se otorgue por copropietarios, cada uno de ellos es sujeto obligado por separado. Se toma como monto del acto el total de la renta mensual pactada, señalando en el aviso el pago recibido de la renta en lo individual. Es una precisión con consecuencias directas para grupos inmobiliarios y estructuras familiares de arrendamiento.

Informes

El artículo 25 confirma el informe en cero y agrega una regla estricta: no puede modificarse ni eliminarse una vez enviado. Si después se detecta una operación que era objeto de aviso, hay que presentarla, sin perjuicio de que la autoridad determine si se cumplió dentro del plazo.

El nuevo artículo 25 Bis crea un informe para meses en que solo hubo operaciones intragrupo del Art. 27 Bis.

Aviso de 24 horas

Los artículos 26 Bis y 26 Bis 1 desdoblan el supuesto del Art. 18 fracción VI, segundo párrafo de la Ley en dos:

• Por sospecha: cuando, con la información recabada para identificar al cliente y las características habituales de las operaciones, se reconozca alguna actividad, conducta o comportamiento inusitado. Se deben considerar montos, frecuencia, formas y periodos de pago, área geográfica y tipo de operación.
• Por hechos o indicios: cuando, a partir de información obtenida de otras fuentes públicas o privadas, se conozca una acción o acontecimiento relacionado con un cliente que permita considerar el vínculo con recursos de procedencia ilícita.

El artículo 26 Bis 2 es clave: estos avisos proceden aunque la operación no alcance el umbral e incluso aunque no se haya celebrado, siempre que existan datos para identificar al cliente o a quien intentó serlo. Y el Art. 27, segundo párrafo, extiende el plazo de 24 horas a las operaciones intentadas con personas incluidas en las listas que emita la UIF.

Acumulación (Art. 19)

Los montos se acumulan en periodos de hasta seis meses, iniciando con el primer acto u operación. Y el seguimiento y acumulación debe realizarse mediante los mecanismos automatizados del Capítulo XIII. Es decir, la acumulación deja de ser un ejercicio manual admisible.

8. Mecanismos automatizados: las seis funciones del Art. 41

El nuevo Capítulo XIII desarrolla el Art. 18 fracción X de la Ley. Los mecanismos deben ser razonablemente adecuados al volumen, naturaleza, complejidad de las operaciones y al riesgo, y desarrollar por lo menos seis funciones:

1. Conservar, actualizar y permitir la consulta de los datos y documentos del expediente único de identificación de cada cliente.
2. Agrupar en una base consolidada las operaciones realizadas con el mismo cliente, permitiendo su monitoreo, la identificación de desviaciones respecto del perfil transaccional y la acumulación del penúltimo párrafo del Art. 17 de la Ley.
3. Proveer la información que alimenta la metodología de evaluación de riesgos.
4. Ejecutar el modelo de evaluación de riesgos para clasificar clientes por grado de riesgo, conservando los registros históricos de las modificaciones de grado de riesgo y perfil transaccional por un periodo no menor a diez años.
5. Ejecutar un sistema de alertas respecto de operaciones que se pretendan realizar con clientes de riesgo alto, PEP, personas incluidas en las listas del Art. 38, o que involucren jurisdicciones de regímenes fiscales preferentes o señaladas como deficientes.
6. Monitorear el uso de efectivo y metales preciosos para efectos del Art. 32 de la Ley.

Sobre la definición de "mecanismo automatizado"

El Art. 3 fracción XI Ter admite expresamente que el mecanismo puede ir desde sistemas informáticos especializados hasta procesos automatizados apoyados en hojas de cálculo o bases de datos, siempre que sus funciones cumplan con lo previsto en el Art. 41 y sea verificable ante la autoridad competente.

Esa última condición es la que importa. La regla no valida la hoja de cálculo como tal: valida cualquier medio que efectivamente ejecute las seis funciones y pueda demostrarse. Ejecutar un modelo de evaluación de riesgos conservando históricos por diez años, correr un sistema de alertas contra listas y jurisdicciones, y mantener una base consolidada con acumulación semestral automática no es algo que una hoja de cálculo sostenga bajo revisión. El criterio de cumplimiento dejó de ser "tengo un sistema" y pasó a ser "cumplo estas seis funciones y puedo probarlo".

9. Manual de Políticas Internas

El Capítulo X desarrolla el Art. 18 fracción VIII. El plazo se mantiene en noventa días naturales desde el alta y registro, y el artículo 37 Bis fija catorce contenidos mínimos:

criterios de identificación y conocimiento del cliente; mecanismos de clasificación de riesgo; medidas de debida diligencia según el grado de riesgo; procedimientos de identificación y seguimiento reforzado de PEP; mecanismos para detectar desviaciones del perfil transaccional; procedimientos de presentación de avisos e informes; mecanismos de conservación de información; mecanismos de seguimiento y acumulación de operaciones; mecanismos para identificar personas en listas nacionales e internacionales; funciones y responsabilidades del Representante Encargado de Cumplimiento; programas de capacitación; mecanismos de control interno, supervisión y auditoría; medidas de confidencialidad; y procedimientos de actualización del propio Manual.

Además, el Manual debe incluir el diseño de la metodología de evaluación de riesgos y el procedimiento y criterios para determinar la apertura, limitación o terminación de relaciones comerciales, congruentes con esa metodología.

Grupos empresariales

El artículo 37 Bis 1 introduce una obligación nueva y significativa: quienes formen parte de un grupo empresarial deben implementar políticas y mecanismos centralizados de cumplimiento aplicables a todas las sucursales y filiales de propiedad mayoritaria, incluidas las extranjeras, siempre que resulten aplicables a todos los integrantes, permitan compartir información para identificar y mitigar riesgos, y garanticen el cumplimiento individual de cada entidad.

Facultad del SAT

El artículo 37 Bis 3 permite al SAT señalar modificaciones al Manual cuando a su juicio sea necesario para el cumplimiento o la correcta aplicación de las reglas. El Manual deja de ser un documento de archivo y pasa a ser un instrumento supervisable.

Por último, el artículo 37 Bis 2 ofrece un alivio práctico: si el sujeto obligado determina que no realizará operaciones bajo ciertos supuestos, queda exento de establecer políticas para ellos, siempre que haga constar esa circunstancia en el Manual.

10. Capacitación y selección de personal

El Capítulo XII desarrolla el Art. 18 fracción IX. Los programas se dirigen a consejo de administración o administrador único, directivos, funcionarios, Representante Encargado de Cumplimiento y, en todo caso, a los empleados de atención al público, los que participen en la identificación de clientes, los que envíen avisos y los que realicen auditoría.

Los cursos deben impartirse al menos una vez al año y cubrir como mínimo: la Ley, el Reglamento, las reglas y las resoluciones de formatos; el contenido del propio Manual; las operaciones del Art. 17; y los riesgos a los que está expuesta la actividad. Los temas deben ser coherentes con los resultados de la metodología de evaluación de riesgos.

Dos requisitos nuevos merecen atención:

• Quien imparta la capacitación debe acreditar al menos cinco años de experiencia en materia de prevención de lavado de dinero (Art. 39 Bis fracción III).
• Las constancias solo se expiden previa evaluación. El artículo 39 Bis 1 exige practicar evaluaciones sobre los conocimientos adquiridos y establecer en el Manual las medidas aplicables a quienes no obtengan resultados satisfactorios. La evidencia documental —programas, materiales, listas de asistencia, evaluaciones y constancias— se conserva diez años.

El personal de atención al público o de administración de recursos debe recibir capacitación de manera previa o simultánea a su ingreso.

En cuanto a selección (Art. 39 Bis 2), hay que obtener de cada funcionario o empleado una declaración firmada que consigne los sectores regulados en los que haya laborado previamente y que no ha sido sentenciado por delitos patrimoniales ni inhabilitado para ejercer el comercio o para desempeñar empleo en el servicio público o en el sistema financiero.

11. Auditoría: el régimen nuevo del Capítulo XIV

Es el bloque más extenso del Acuerdo (artículos 42 a 51) y desarrolla el Art. 18 fracción XI de la Ley junto con el Art. 12 Bis del Reglamento.

Periodo y alcance

La revisión evalúa y dictamina, del 1 de enero al 31 de diciembre de cada año, la efectividad del cumplimiento de la Ley, el Reglamento y las reglas. Los resultados se presentan al consejo de administración, administrador único, dirección general u órgano equivalente, o directamente a la persona física que realiza la actividad vulnerable.

Para el primer año de operaciones, el periodo comprende desde el inicio de operaciones hasta el 31 de diciembre del año siguiente.

Quién puede auditar

Aquí el Acuerdo introduce una bifurcación que depende directamente del resultado de la metodología de evaluación de riesgos:

• Riesgo bajo o medio: el dictamen puede emitirlo el área de auditoría interna o de control interno, integrada por personal independiente del Representante Encargado de Cumplimiento, con conocimiento de los procesos internos y al menos una acreditación del programa de capacitación anual.
• Riesgo alto (o por elección propia): se requiere auditor externo independiente que cumpla cinco requisitos: título y cédula profesional en derecho, contaduría, finanzas, administración de empresas, informática o áreas afines; al menos tres años de experiencia en PLD; certificación vigente otorgada por la UIF conforme al Art. 34 Bis al momento de firmar el dictamen; no haber sido sentenciado por delitos patrimoniales; no haber prestado servicios previos que generen conflicto de interés durante el periodo auditado; y no haber sido Representante Encargado de Cumplimiento del auditado durante el periodo auditado ni en los dos años posteriores.

Vale notar que la certificación del Art. 34 Bis —vigencia de cinco años, otorgada por la UIF mediante convocatoria publicada en el DOF— es opcional para personas físicas que realizan actividades vulnerables y para representantes de cumplimiento, pero obligatoria para el auditor externo. La convocatoria correspondiente todavía está pendiente de publicación.

Estructura del dictamen

El artículo 47 exige que el dictamen se elabore con una metodología que incluya, al menos, un cuestionario inicial de conocimiento del auditado y un análisis de riesgo elaborado por el propio auditor. Y fija siete secciones mínimas:

1. Presentación: datos del auditor, manifestación bajo protesta de decir verdad de que cumple los requisitos, conclusiones sobre el conocimiento del auditado y riesgos identificados.
2. Objeto: obligaciones evaluadas, tipo de operaciones, periodo revisado y sucursales.
3. Volumen de información y muestreo: criterios de selección de la muestra, número de operaciones revisadas y porcentaje que representan del total.
4. Proceso de auditoría: detalle de la revisión, metodología y asuntos relevantes.
5. Hallazgos: deficiencias, omisiones y áreas de oportunidad.
6. Resultados de cumplimiento: evaluación individualizada por obligación.
7. Acciones correctivas y recomendaciones de mejora.

Escala de calificación

El artículo 48 establece cinco resultados posibles por cada obligación evaluada: Cumple, Cumple mayoritariamente, Cumple parcialmente, No cumple y No aplica. Cada categoría trae requisitos específicos sobre hallazgos y recomendaciones que el auditor debe incluir.

Dos exigencias poco habituales

El artículo 49 obliga a que el dictamen incluya, junto a cada hallazgo, los plazos, las personas responsables de implementar las acciones correctivas y una proyección económica del monto al que ascenderían las multas correspondientes en caso de no atenderlas. Adicionalmente, debe contener el seguimiento de los hallazgos del dictamen del año inmediato anterior.

Plazos y conservación

La revisión y emisión se hacen dentro de los primeros tres meses siguientes al cierre del año auditado, y el auditor entrega el dictamen a más tardar el último día hábil de marzo. El auditado debe procurar atender la totalidad de las acciones correctivas antes del inicio del siguiente periodo de auditoría. Si el dictamen detecta incumplimientos, pueden subsanarse de manera espontánea antes del inicio de la revisión siguiente.

El dictamen y la documentación soporte se conservan cinco años desde su entrega.

12. Alta, registro y notificaciones electrónicas

Nuevos supuestos de alta

El artículo 4 agrega dos fracciones: alta y registro cuando la actividad vulnerable se realiza a través de un fideicomiso (Anexo 2 Bis) o a través de otra figura jurídica (Anexo 2 Ter). El nuevo Capítulo II Ter desarrolla el procedimiento, que se realiza mediante una herramienta del Portal en Internet que genera un archivo XML con la información de integrantes o miembros.

Para asociaciones en participación, el asociante es responsable del trámite, usando la e.firma asociada al RFC de la propia asociación.

La e.firma de la entidad, no la del representante

El artículo 4 es tajante: personas morales, fideicomisos y demás figuras jurídicas deben usar la Firma Electrónica Avanzada asociada a su propio RFC, y no podrán usar la de su representante legal, fideicomitentes o apoderados. La misma regla aplica para la presentación de avisos e informes (Art. 24). Es un cambio operativo que conviene resolver antes de noviembre.

Buzón de notificaciones

Los artículos 5 Bis y 6 crean un régimen de notificación electrónica equivalente al buzón fiscal. Al firmar el alta con e.firma se acepta expresamente ser notificado por esa vía: requerimientos, citatorios, solicitudes de información, prevenciones y resoluciones administrativas.

La mecánica: el sujeto obligado cuenta con tres días hábiles para abrir los documentos digitales pendientes; la notificación se tiene por realizada al cuarto día hábil aunque no se haya abierto. Y existe obligación expresa de consultar los medios electrónicos al menos una vez cada día hábil.

Si por causas imputables a la autoridad no puede consultarse el portal, hay que informarlo dentro de los tres días hábiles siguientes para ser notificado por otra vía.

Otros plazos relevantes

• Actualización del registro: seis días hábiles desde el hecho que la motive (Art. 7).
• Requerimientos del SAT sobre el alta: diez días hábiles para atender, con prórroga de hasta cinco días a solicitud (Art. 9).
• Aceptación del Representante Encargado de Cumplimiento: la persona designada acepta o rechaza en el Portal con su e.firma; el SAT notifica el resultado en diez días hábiles. El rechazo no libera de obligaciones a quien designó (Art. 10). Personas morales y figuras jurídicas solo pueden designar a una persona física.
• Baja: surte efectos desde la situación jurídica que la motive. El nuevo Art. 8 Bis permite que el SAT la realice a solicitud de un tercero interesado que acredite la imposibilidad del titular de darse de baja.

Proveedores de servicios de activos virtuales

El Capítulo II Bis refuerza los requisitos de alta: listado de personas físicas y morales con participación en el capital, incluyendo nacionalidad, domicilio, CURP, RFC, número de acciones, valor nominal y equivalente en pesos, con documentación soporte, más la misma información respecto del beneficiario controlador del solicitante; nombres comerciales, páginas y aplicaciones; y datos completos del representante legal.

El SAT previene una sola vez con cinco días hábiles para subsanar, y desecha el trámite si no se atiende. Una vez que el SAT confirma haber recibido la documentación completa, el solicitante tiene treinta días hábiles para concluir el alta.

Los PSAV ya registrados tienen hasta el 30 de mayo de 2027 para actualizar y entregar esta información.

13. Cambios en los anexos de identificación

Los cambios en los anexos son menores en extensión pero afectan a todos los expedientes:

• La cédula profesional deja de ser identificación válida. Los Anexos 3, 4, 4 Bis, 6, 6 Bis y 8 la excluyen expresamente.
• Se admiten identificaciones vencidas recientemente. El documento debe estar vigente o que su fecha de vencimiento, al momento de presentarse, no sea mayor a dos años.
• La CURP no se exige por separado si consta en otro documento oficial.
• El comprobante de domicilio mantiene los tres meses de antigüedad máxima, y se amplía el catálogo aceptado: recibos de servicios domiciliados, estados de cuenta, contrato de arrendamiento vigente registrado ante autoridad fiscal, o constancia de inscripción en el RFC.
• Constancia de beneficiario controlador. Debe recabarse una constancia firmada por el cliente —de manera autógrafa o mediante Firma Electrónica— en la que se acredite que se le solicitó información sobre la existencia de beneficiario controlador.

Y el Art. 21 mantiene la verificación anual de expedientes de clientes con relación de negocios, precisando que el comprobante de domicilio debe cumplir la antigüedad de tres meses.

14. Otros cambios relevantes

Confidencialidad ampliada (Art. 31). La obligación se extiende expresamente al Representante Encargado de Cumplimiento y a empleados sin distinción por esquema de contratación o relación laboral, e incluye la documentación relativa a la identificación y estructura de control del beneficiario controlador. La prohibición de alertar al cliente se amplía a la existencia de órdenes de aseguramiento antes de su ejecución.

Fedatarios del sector público (Art. 34 Ter). Quienes realicen la actividad de la fracción XII apartados C y D del Art. 17 —servidores públicos con facultad de dar fe pública y facilitadores— deben observar, en lo conducente, los capítulos de enfoque basado en riesgos, clasificación de riesgo, conocimiento del cliente, manual, capacitación, mecanismos automatizados y auditoría.

Organizaciones sin fines de lucro (Arts. 38 Bis a 38 Bis 2). La UIF aplicará medidas proporcionales con enfoque de riesgo relacionado con el Art. 139 Quáter del CPF. Las asociaciones y sociedades sin fines de lucro deberán cumplirlas con independencia de que sean o no actividad vulnerable conforme al Art. 17. La definición del Art. 2 fracción I es amplia: asociaciones civiles, organizaciones de la sociedad civil, asociaciones e iglesias religiosas, partidos y agrupaciones políticas nacionales y estatales, colegios de profesionistas y sindicatos.

Días y horas hábiles (Arts. 36 Bis a 36 Bis 2). Se incorpora el calendario de días inhábiles, se reconoce el periodo general de vacaciones del SAT publicado en la Resolución Miscelánea Fiscal como inhábil para efectos de plazos, y se regula la notificación por instructivo cuando el domicilio esté cerrado o no se acepte el citatorio.

Relación de negocios redefinida (Art. 3 fracción XIV). Se excluye expresamente la prestación de servicios de fe pública de la fracción XII, y se aclara el criterio: es formal y habitual cuando al amparo de un contrato el cliente puede realizar actos que no se extinguen con su realización; es ocasional cuando por su simple ejecución el acto se extingue.

15. Lo que todavía falta

El Acuerdo 115/2026 no cierra el marco normativo. Queda pendiente la Resolución que modifique los formatos oficiales de avisos e informes, de la cual depende directamente la operatividad del aviso de 24 horas (Transitorio Quinto), y la actualización de los formatos de alta y registro que den soporte a los nuevos Anexos 2 Bis y 2 Ter.

También están pendientes: la convocatoria de la UIF para la certificación del Art. 34 Bis —necesaria para los auditores externos—, la publicación de la lista de países y jurisdicciones de alto riesgo en el Portal en Internet (Art. 23 Bis 4), y los lineamientos y guías que la UIF puede emitir sobre enfoque basado en riesgos (Art. 10 Septies 5) y beneficiario controlador (Art. 23 Quinquies 3).

16. Qué hacer ahora: prioridades por horizonte

Antes del 30 de noviembre de 2026

Verificar que la persona moral, fideicomiso o figura jurídica cuente con e.firma propia asociada a su RFC, porque la del representante legal deja de ser válida. Designar responsable de la revisión diaria del buzón de notificaciones. Revisar si la operación se realiza a través de fideicomisos o asociaciones en participación que requieran alta independiente. Actualizar los criterios de identificación en expedientes (cédula profesional fuera, constancia de beneficiario controlador dentro). Y, si se trata de un proveedor de servicios de activos virtuales, arrancar la recopilación de la información accionaria del Art. 10 Bis.

Durante 2026, para llegar a marzo de 2027

Estructurar la bitácora de operaciones del año en curso, porque es el insumo de la primera evaluación de riesgos. Diseñar la metodología del Capítulo II Quáter. Definir el modelo de clasificación de clientes en al menos tres grados. Reescribir el Manual con los catorce contenidos del Art. 37 Bis. Y mapear qué porcentaje de la cartera cae en riesgo medio, porque a partir de marzo de 2027 esos expedientes requieren documentación completa.

Durante 2027

Implementar los mecanismos automatizados con las seis funciones del Art. 41 antes del 1 de junio. Ejecutar el primer programa anual de capacitación con capacitadores que acrediten cinco años de experiencia y con evaluaciones documentadas. Aplicar los procedimientos de selección a nuevas contrataciones. Y decidir, con base en el resultado de la evaluación de riesgos, si la auditoría de 2028 será interna o externa —porque si el riesgo resulta alto, hay que localizar un auditor con certificación UIF vigente en un mercado que apenas se está formando.

Preguntas frecuentes

¿Ya están vigentes las nuevas Reglas de Carácter General de la LFPIORPI?

No. El Acuerdo 115/2026 se publicó en el DOF el 7 de agosto de 2026 pero entra en vigor el 30 de noviembre de 2026, y la mayoría de las obligaciones sustantivas se escalonan entre marzo de 2027 y enero de 2028.

¿Puedo seguir usando Excel como mecanismo automatizado?

La definición del Art. 3 fracción XI Ter admite hojas de cálculo y bases de datos, pero solo si cumplen las seis funciones del Art. 41 y ello es verificable ante la autoridad. Entre esas funciones están ejecutar el modelo de evaluación de riesgos conservando históricos por 10 años y correr un sistema de alertas contra listas y jurisdicciones. En la práctica, el criterio de cumplimiento es funcional, no de herramienta.

¿Cuándo tengo que hacer mi primera auditoría?

El primer periodo de revisión comprende del 1 de enero al 31 de diciembre de 2028. El dictamen debe entregarse a más tardar el último día hábil de marzo de 2029.

¿Necesito auditor externo?

Solo si el resultado de tu metodología de evaluación de riesgos te ubica en riesgo alto, o si así lo eliges. Con riesgo bajo o medio basta un área de auditoría interna, siempre que sea independiente del Representante Encargado de Cumplimiento y cuente con acreditación del programa anual de capacitación.

¿Desde cuándo debo identificar Personas Políticamente Expuestas?

El Capítulo III Quáter entra en vigor con el Acuerdo el 30 de noviembre de 2026. Sin embargo, la aplicación Consulta PEP 2.0 de la UIF se habilita nueve meses después, alrededor del 30 de agosto de 2027. Durante ese periodo la identificación debe resolverse por medios propios.

¿Cuál es el umbral de beneficiario controlador?

25% o más de la composición accionaria o parte social como primer paso de la cascada; si no se identifica por esa vía, se pasa al control por otros medios y, en último término, a la alta dirección.

¿El aviso de 24 horas ya es exigible?

No de inmediato. El Transitorio Quinto lo difiere hasta seis meses después de que entre en vigor la Resolución que modifique los formatos oficiales de avisos e informes y prevea la identificación expresa de este tipo de avisos. Esa resolución sigue pendiente de publicación.

Referencia

Acuerdo 115/2026 por el que se modifican las Reglas de carácter general a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. Secretaría de Hacienda y Crédito Público. Firmado el 24 de julio de 2026 y publicado en el Diario Oficial de la Federación el 7 de agosto de 2026. Modifica las reglas publicadas el 23 de agosto de 2013 y reformadas el 24 de julio de 2014 y el 30 de noviembre de 2020.

Este análisis tiene fines informativos y no constituye asesoría legal. Para la aplicación de estas disposiciones a un caso concreto, consulta con tu asesor jurídico.