Lista PEP del SAT y la UIF: cómo funciona Consulta PEP 2.0 y qué te toca hacer desde noviembre de 2026

Desde que se publicó el Acuerdo 115/2026, la pregunta que más nos hacen las empresas que realizan actividades vulnerables es alguna versión de esta: "¿cuándo nos manda el SAT la lista de PEP?". La respuesta corta es que nunca, y entender por qué es lo que te va a evitar un hallazgo en la primera visita de verificación.

Este artículo junta lo que dicen los tres cuerpos normativos sobre la lista —la Ley reformada el 16 de julio de 2025, el Reglamento reformado el 27 de marzo de 2026 y las Reglas de Carácter General del 7 de agosto de 2026— y lo traduce en lo que tienes que tener funcionando en tu empresa. Si lo que buscas es la definición general de PEP y cómo aplicar debida diligencia reforzada, eso ya lo cubrimos en esta guía; aquí hablamos de la lista y de la consulta.

1. Qué es exactamente "la lista PEP" y quién la hace

Hasta 2025, "PEP" era una definición sin padrón. Cada sujeto obligado decidía a quién consideraba Persona Políticamente Expuesta con base en las listas de cargos de las disposiciones bancarias y en lo que encontrara por su cuenta. La reforma a la LFPIORPI cambió eso en dos artículos.

El primero es la definición. El nuevo artículo 3, fracción IX Bis define PEP como la persona física que desempeña o ha desempeñado funciones públicas en México o en el extranjero, así como las personas relacionadas con ellas que cumplan las condiciones que fije la Secretaría en reglas de carácter general. Es decir: la Ley pone el concepto y manda el detalle a las Reglas.

El segundo es la lista. El nuevo artículo 51 Ter ordena a la Secretaría de Hacienda elaborar y mantener actualizado "un listado nominativo de cargos de personas servidoras públicas que serán consideradas políticamente expuestas". Y obliga a prácticamente toda autoridad del país a alimentarlo: los Poderes Legislativo y Judicial, los órganos constitucionales autónomos, las dependencias y entidades federales y sus homólogas estatales, los municipios y las alcaldías de la Ciudad de México, la Fiscalía General y las fiscalías locales, los tribunales que no formen parte de los poderes judiciales, las empresas públicas del Estado y cualquier organismo controlado por alguno de ellos. Todos deben remitir "su listado específico de Personas Políticamente Expuestas con los datos de identificación que establezca el formato emitido por la Secretaría".

Dentro de Hacienda, la que la integra es la Unidad de Inteligencia Financiera. El Reglamento reformado lo dice en el artículo 45 Bis y le da a la UIF la atribución de emitir el formato y el medio para recibir la información (artículo 3, fracción III Bis). El SAT, que es quien supervisa a las actividades vulnerables, no la elabora; en todo caso la UIF puede compartirle lo necesario para sus facultades de supervisión, previo convenio.

2. De dónde salen los nombres

La definición del Reglamento (artículo 2, fracción IV) explica de qué está hecha la lista. Son dos capas:

La actualización no es anual ni discrecional. El artículo 45 Quinquies del Reglamento obliga a cada autoridad a reportar cualquier cambio dentro de los cinco días hábiles siguientes a que ocurra: un nombramiento, una renuncia, una destitución. En teoría, la lista de la UIF va a ser la base de PEP más actualizada que haya existido en México. En la práctica, dependerá de que miles de entes públicos cumplan con ese plazo, y nadie puede prometer eso hoy.

3. Por qué no la vas a poder descargar

Aquí está el punto que más confusión genera. Algunos proveedores y notas de prensa hablan de "la lista PEP que publicará el SAT". No va a pasar, y el fundamento es explícito.

Y el artículo 45 Ter acota para qué sirve la consulta: "con la única finalidad de verificar si se encuentran en el listado". No para explorarla, no para exportarla, no para alimentar tu propio screening con ella. Vas a preguntar por una persona y vas a recibir una respuesta sobre esa persona.

Esto tiene una consecuencia operativa que conviene asumir desde ahora: la lista de la UIF no va a sustituir tu proceso de identificación de PEP. Lo complementa, en el caso puntual en que tú ya hiciste tu trabajo y no pudiste concluir. Si tu plan era "esperar la lista", no hay lista que esperar.

4. Consulta PEP 2.0: cómo funciona

El mecanismo de consulta lo describe el artículo 23 Quáter 1 de las Reglas de Carácter General. Lo esencial:

• Dónde. En la aplicación Consulta PEP 2.0, en el sitio de la UIF.
• Con qué. Con la misma e.firma que usaste para tu alta y registro como actividad vulnerable. Para personas morales y fideicomisos, eso significa la e.firma de la propia entidad, no la del representante legal.
• Quién puede. Solo quienes estén al corriente en sus obligaciones de prevención de lavado. La herramienta se habilita a quien cumple; si no estás dado de alta o tienes pendientes, no vas a tener acceso. Las entidades financieras la solicitan por escrito libre firmado por su representante legal y su oficial de cumplimiento.
• Cuándo. Después de haber identificado y verificado la identidad del cliente, y solo si con tus propios medios no pudiste determinar si es PEP. Lo dicen igual el artículo 51 Ter de la Ley y el 45 Ter del Reglamento.
• Para qué. Para verificar si la persona está en el listado y seguir con tus obligaciones del artículo 18, fracciones VIII (Manual con procedimientos para PEP) y X (mecanismos automatizados con seguimiento intensificado).

El procedimiento técnico detallado —formatos, campos, respuestas— queda en reglas de carácter general conforme al artículo 45 Quáter del Reglamento. A la fecha de este artículo, ese detalle operativo no está publicado más allá de lo que describe el 23 Quáter 1. Cuando salga, actualizaremos esta nota.

5. El calendario y el hueco de nueve meses

Lo que sí cuenta durante ese periodo, y después, es lo mismo que la banca ha hecho durante años: preguntarle al cliente, contrastar contra listas comerciales, buscar en fuentes abiertas y dejar evidencia de las tres cosas. Lo detallamos en la sección 7.

6. Quién es PEP según las Reglas 2026

El Capítulo III Quáter de las Reglas aterriza la definición de la Ley. Conviene tenerla a la mano porque es más amplia de lo que la mayoría de las empresas aplica hoy.

El universo base

Jefes de Estado o de gobierno, líderes políticos, funcionarios gubernamentales, judiciales o militares de alta jerarquía, altos ejecutivos de empresas estatales, y funcionarios o miembros importantes de partidos políticos y de organizaciones internacionales. Nacionales y extranjeros.

Los asimilados

Se tratan como PEP el cónyuge, la concubina o el concubinario, los parientes por consanguinidad o afinidad hasta el segundo grado (padres, hijos, hermanos, abuelos, nietos, suegros, cuñados), y los socios o asociados de personas morales con las que la PEP mantenga vínculos patrimoniales. Este último grupo es el que casi nadie tiene mapeado: el socio del funcionario en una inmobiliaria o en una SOFOM es PEP por asimilación.

La regla del año

Quien deja el cargo sigue siendo PEP nacional durante el año siguiente. Y si una persona dejó de ser PEP dentro del año anterior a la fecha en que pretende operar contigo, debes catalogarla como PEP durante el año siguiente a esa operación.

Qué se dispara cuando el cliente es PEP

• Riesgo alto obligatorio si es PEP extranjera (artículo 23 Bis 4). Para PEP nacionales, el grado de riesgo lo determina tu metodología; no hay clasificación automática.
• Aprobación de un directivo antes de celebrar la operación cuando la PEP sea de riesgo alto (artículo 23 Ter 5).
• Seguimiento intensificado por tus mecanismos automatizados (Ley, artículo 18 fracción X) y alertas sobre las operaciones que pretenda realizar (artículo 23 Ter 2).
• Procedimientos escritos de identificación y seguimiento reforzado de PEP en el Manual (artículo 37 Bis).

7. Qué te toca hacer

Lo que sigue es la lista mínima para llegar al 30 de noviembre con la obligación cubierta y al 30 de agosto de 2027 sin depender de que la aplicación funcione el primer día.

1. Pregúntalo en el onboarding. Agrega al formulario de identificación una declaración expresa: ¿desempeña o desempeñó funciones públicas en el último año? ¿Alguien de su familia hasta segundo grado? ¿Es socio de alguien que las desempeñe? Firmada o aceptada con evidencia.
2. Contrasta contra una lista. Hasta que exista Consulta PEP 2.0, una lista comercial o una búsqueda estructurada en fuentes abiertas es tu medio propio. Guarda el resultado, con fecha, aunque sea negativo.
3. Cataloga. El expediente del cliente debe decir si es PEP, de qué tipo (nacional, extranjera, asimilada) y desde cuándo. Esa marca es la que después alimenta el riesgo y las alertas.
4. Define el riesgo. PEP extranjera: alto, sin discusión. PEP nacional: lo que diga tu matriz, y que la matriz lo contemple expresamente.
5. Establece la aprobación. Quién firma cuando una PEP de riesgo alto quiere operar, y cómo queda registrado. Sin esto, el artículo 23 Ter 5 se incumple aunque todo lo demás esté bien.
6. Activa el seguimiento reforzado. Umbrales de alerta más bajos, revisión del perfil transaccional con más frecuencia, actualización del expediente en plazos más cortos.
7. Escríbelo en el Manual. Todo lo anterior tiene que estar como procedimiento en el Manual de Políticas Internas antes del 1 de marzo de 2027, y la versión vigente desde el 30 de noviembre ya debería contemplarlo.
8. Prepara el acceso a Consulta PEP 2.0. E.firma de la entidad vigente, alta y registro en orden, sin obligaciones pendientes. Si hoy tienes algo rezagado, regularízalo antes: la herramienta solo se habilita a quien cumple.
9. Reevalúa. La condición de PEP cambia: nombramientos, elecciones, renuncias. Tu proceso tiene que volver a correr al actualizar el expediente y cuando haya una señal (una noticia, una alerta de lista).

8. Cinco errores que ya estamos viendo

Esperar la lista. No hay archivo que esperar. Hay una consulta subsidiaria, nueve meses después de que la obligación ya esté vigente.

Confiar solo en la consulta. Tanto la Ley como el Reglamento dicen que consultas después de haber identificado y verificado al cliente y solo si no pudiste determinarlo. Si tu único control es Consulta PEP 2.0, no tienes control.

Olvidar a los asimilados. El funcionario sale en las listas; su cuñado y su socio no. Sin la declaración del cliente y sin preguntar por vínculos, se te escapan.

Tratar a toda PEP como riesgo alto. Solo la extranjera lo es por regla. Clasificar a toda PEP nacional como alto riesgo, sin metodología, es un atajo que infla tu operación de seguimiento reforzado y no resiste una revisión de la matriz.

No dejar evidencia del negativo. "Buscamos y no era PEP" no vale nada si no está documentado. La evidencia de que el proceso corrió, con fecha y fuente, es lo que el verificador va a pedir.

9. Dónde entra Artu

Todo lo de la sección 7 es trabajo repetitivo, por cliente, con evidencia. Es exactamente lo que automatizamos. En Artu la declaración PEP forma parte del onboarding, el screening contra listas corre en el alta y en cada actualización del expediente, la catalogación marca el expediente y alimenta la matriz de riesgo, las alertas de seguimiento reforzado se configuran por tipo de cliente, la aprobación del directivo queda registrada con quién y cuándo, y cada resultado —positivo o negativo— se guarda con fecha y fuente. Cuando Consulta PEP 2.0 esté disponible, se integra como un paso más del mismo flujo.

Si quieres ver cómo se vería con tus clientes, o quieres primero saber si tu empresa realiza actividades vulnerables, puedes empezar por el diagnóstico gratuito.

Preguntas frecuentes

Documento informativo. No constituye asesoría legal. Elaborado con base en la LFPIORPI (última reforma DOF 16 de julio de 2025), su Reglamento (última reforma DOF 27 de marzo de 2026) y el Acuerdo 115/2026 por el que se reforman las Reglas de Carácter General (DOF 7 de agosto de 2026). El procedimiento técnico de Consulta PEP 2.0 puede cambiar cuando la UIF publique sus lineamientos.