En corto. Si tu empresa realiza alguna de las actividades vulnerables del artículo 17 de la Ley Antilavado, en los próximos 24 meses tienes que tener funcionando un programa de cumplimiento completo. No es una obligación nueva, pero sí es mucho más exigente que la que conocías.
El marco quedó cerrado en tres pasos: la reforma a la Ley (16 de julio de 2025), el nuevo Reglamento (27 de marzo de 2026) y las Reglas de Carácter General publicadas el 7 de agosto de 2026 mediante el Acuerdo 115/2026. Estas últimas son las que dicen cómo se cumple en la práctica.
Entran en vigor el 30 de noviembre de 2026, y las obligaciones más pesadas se escalonan hasta 2029.
Este documento divide todo en tres partes:
| Parte | Qué encontrarás |
|---|---|
| 1. Lo que te toca a ti | Decisiones, nombramientos y documentos que tu empresa tiene que aprobar y firmar. Artu te lleva de la mano en cada uno. |
| 2. Lo que se automatiza | El trabajo diario y repetitivo. Es donde entra la plataforma. |
| 3. Qué pasa si no cumples | Multas, suspensión y responsabilidad penal, con montos actualizados. |
Estas son las obligaciones que terminan en una decisión, una firma o un nombramiento de tu empresa, porque la ley te hace responsable directo y eso no se puede delegar.
Pero no las enfrentas solo. En cada una de ellas te acompañamos: diseñamos contigo la metodología de riesgos, te entregamos el Manual y la evaluación en borrador editable, y te conectamos con capacitadores certificados que además pueden dar el visto bueno a ambos documentos. Lo único que queda de tu lado es revisarlo, ajustar lo que quieras y firmarlo.
Tener la e.firma de la entidad, no la del representante legal.
Las reglas ahora son tajantes: personas morales, fideicomisos y otras figuras jurídicas deben usar la Firma Electrónica Avanzada asociada a su propio RFC, tanto para el alta y registro como para presentar avisos. Ya no sirve la e.firma del apoderado.
Fundamento: artículos 4 y 24.
Designar a tu Representante Encargado de Cumplimiento.
Tiene que ser una persona física, y ella misma debe entrar al portal del SAT con su e.firma para aceptar el nombramiento. Ojo: si rechaza la designación, tu empresa sigue obligada igual.
Fundamento: artículo 10.
Nombrar a quien revise el buzón todos los días.
Se crea un buzón de notificaciones electrónicas parecido al fiscal. Tienes tres días hábiles para abrir cada documento y al cuarto se considera notificado, lo hayas abierto o no. La obligación de consultarlo es diaria.
Fundamento: artículos 5 Bis y 6.
Definir qué operaciones sí realizas y cuáles no.
Si decides que tu empresa no va a hacer ciertos tipos de operación, puedes quedar exenta de tener políticas para ellas — pero solo si lo dejas asentado por escrito en tu Manual. Es una decisión de negocio que te ahorra trabajo, y conviene tomarla temprano.
Fundamento: artículo 37 Bis 2.
Dar de alta fideicomisos o figuras jurídicas, si operas a través de ellos.
Si la actividad vulnerable se realiza mediante un fideicomiso o una asociación en participación, ahora requieren alta y registro propios. En la A en P, el responsable del trámite es el asociante.
Fundamento: artículos 4 fracciones III y IV, 10 Sexies y 10 Sexies 1.
Tu metodología de evaluación de riesgos.
Esta es la decisión de fondo de todo el nuevo régimen. Tienes que definir qué representa riesgo para tu negocio en concreto: qué tipo de clientes, qué operaciones, qué geografías, qué canales. Y ponerle un valor a cada factor.
Cómo lo resolvemos juntos: diseñamos la metodología contigo a partir de tu operación real y te la entregamos en borrador editable. Tú la revisas, ajustas lo que consideres y la firmas. Una vez aprobada, queda cargada en el sistema y corre sola: clasifica a tus clientes, guarda el histórico y genera el documento que le muestras a la autoridad.
Si quieres una validación externa, te conectamos con especialistas certificados que pueden dar el visto bueno a tu metodología antes de que la apruebes.
Fundamento: artículos 10 Septies y 10 Septies 1.
El dato que más se pasa por alto: la evaluación que tienes que poder mostrar el 1 de marzo de 2027 debe elaborarse con información del año inmediato anterior. Es decir, con datos de 2026. Los que estás generando ahora. Si tu operación de este año no queda registrada de forma estructurada, en marzo de 2027 no vas a tener con qué construirla.
Tu Manual de Políticas Internas.
Debe estar listo a los 90 días naturales de tu alta y registro, y cubrir catorce contenidos mínimos: identificación de clientes, clasificación de riesgo, debida diligencia, PEP, desviaciones de perfil, avisos, conservación, acumulación, listas, funciones del Representante Encargado de Cumplimiento, capacitación, control interno y auditoría, confidencialidad y actualización.
Además tiene que incluir el diseño de tu metodología de riesgos y los criterios para abrir, limitar o terminar relaciones comerciales.
Cómo lo resolvemos juntos: te entregamos el Manual completo en borrador editable, construido sobre la configuración real de tu operación en la plataforma, con los catorce apartados cubiertos. Lo revisas, lo ajustas a tu medida y lo apruebas. Si tu metodología cambia, la sección correspondiente se actualiza sin que tengas que reescribir el documento.
Fundamento: artículos 37 y 37 Bis.
Si eres parte de un grupo empresarial: una política corporativa única.
Las reglas obligan a implementar políticas y mecanismos centralizados de cumplimiento aplicables a todas las sucursales y filiales de propiedad mayoritaria, incluidas las del extranjero.
Fundamento: artículo 37 Bis 1.
Capacitación anual.
Al menos un curso al año para consejo o administrador único, directivos, tu Representante Encargado de Cumplimiento y los empleados de atención al público, identificación de clientes, envío de avisos y auditoría.
Dos requisitos que suelen sorprender: quien imparta la capacitación debe acreditar cinco años de experiencia en prevención de lavado de dinero, y las constancias solo se pueden expedir después de aplicar una evaluación. Toda la evidencia se guarda diez años.
El primer periodo corre del 1 de enero al 31 de diciembre de 2027.
Cómo lo resolvemos juntos: te conectamos con capacitadores que ya acreditan los cinco años de experiencia que exige la regla, para que no tengas que salir a buscarlos ni verificar sus credenciales. La evidencia del curso queda archivada en la plataforma con la retención de diez años que pide la ley.
Fundamento: artículos 39 Bis y 39 Bis 1.
Declaración firmada del personal nuevo.
Cada funcionario o empleado debe firmar una declaración sobre los sectores regulados donde haya trabajado antes y sobre no haber sido sentenciado por delitos patrimoniales ni inhabilitado. Aplica a contrataciones desde el 1 de marzo de 2027.
Fundamento: artículo 39 Bis 2.
Auditoría anual.
Se evalúa el año completo, de enero a diciembre, y el dictamen se entrega a más tardar el último día hábil de marzo del año siguiente. Quién puede firmarlo depende de tu nivel de riesgo:
| Tu nivel de riesgo | Quién audita |
|---|---|
| Bajo o medio | Auditoría interna, con personal independiente del Representante Encargado de Cumplimiento y acreditación del programa anual de capacitación. |
| Alto (o si tú lo eliges) | Auditor externo independiente con cédula profesional, tres años de experiencia en PLD y certificación vigente de la UIF. |
El primer periodo auditado es 2028 y el primer dictamen se entrega en marzo de 2029.
Vale la pena adelantarse en un punto: la certificación de la UIF para auditores externos todavía no tiene convocatoria publicada. Si tu evaluación de riesgos te ubica en riesgo alto, vas a competir por un grupo reducido de auditores certificados.
Cómo lo resolvemos juntos: el módulo de auditoría concentra en un solo lugar toda la información y evidencia que el auditor va a pedirte —expedientes, avisos y acuses, histórico de niveles de riesgo, alertas atendidas, constancias de capacitación— y la entrega lista para revisión. Lo que normalmente son semanas de recopilar papeles se convierte en una exportación.
Fundamento: artículos 42 a 51.
Actualizar tu evaluación de riesgos.
Cada doce meses como máximo, o antes si detectas nuevos riesgos o si la UIF actualiza la Evaluación Nacional de Riesgos. Cada revisión debe constar por escrito.
Fundamento: artículo 10 Septies 3.
Hay tres momentos en los que la ley exige un juicio humano y documentado. Un sistema puede detectar, alertar y dejar constancia, pero la decisión es de una persona con responsabilidad dentro de la empresa.
Aprobar u operar con un cliente que sea PEP y de riesgo alto.
Requiere la aprobación expresa de un directivo o equivalente antes de celebrar la operación. Si quien realiza la actividad vulnerable es persona física, se sustituye por una constancia donde explique los motivos.
Fundamento: artículo 23 Ter 5.
Decidir si un caso amerita aviso en 24 horas.
Cuando detectas una conducta inusitada, o cuando por una fuente externa te enteras de algo sobre un cliente, tienes 24 horas para presentar el aviso. Este aviso procede aunque la operación no alcance el umbral, e incluso aunque no se haya realizado. La alerta la genera el sistema; la valoración de si hay sospecha es tuya.
Fundamento: artículos 26 Bis, 26 Bis 1 y 26 Bis 2.
Abrir, limitar o terminar una relación comercial.
Tus criterios para hacerlo deben estar en el Manual y ser congruentes con tu metodología de riesgos. El SAT puede señalarte incongruencias y pedirte un plan de acción.
Fundamento: artículos 37, tercer párrafo, y 10 Septies 3.
Todo lo anterior son decisiones. Lo que sigue es trabajo operativo: repetitivo, de alto volumen, con fechas que no perdonan y donde el error humano es la causa más común de multa. Es exactamente donde entra la plataforma.
Cada cliente necesita un expediente único, integrado antes o durante la operación, con los datos y documentos del anexo que le corresponda según sea persona física, moral, extranjera, de derecho público o fideicomiso.
Lo que corre solo: formulario que cambia según el tipo de cliente, validación de identificación oficial y su vigencia, control de que el comprobante de domicilio no exceda tres meses de antigüedad, registro de cotejo con usuario y fecha, y bloqueo de la operación si el expediente está incompleto.
Dos cambios recientes que ya vienen aplicados: la cédula profesional dejó de ser identificación válida, y se acepta identificación vencida siempre que el vencimiento no exceda dos años.
También corre sola la revisión anual de expedientes de clientes con relación de negocios, que la ley exige al menos una vez al año.
Fundamento: artículos 12, 21 y Anexos 3 a 8.
Cada cliente debe verificarse contra las listas que emite la UIF, contra el universo de Personas Políticamente Expuestas —que incluye cónyuge, concubinato, parentesco hasta segundo grado y socios con vínculos patrimoniales— y contra las jurisdicciones consideradas de alto riesgo.
Esto no es una revisión de una sola vez. Las listas cambian, la gente entra y sale de cargos públicos, y una persona sigue siendo PEP durante el año posterior a dejar el puesto.
Lo que corre solo: verificación en el alta y monitoreo continuo después, alerta cuando un cliente existente aparece en una lista, control de las ventanas temporales del estatus PEP, y bloqueo con generación de aviso cuando hay coincidencia con una lista.
Fundamento: artículos 23 Quáter, 23 Bis 4, 38 y 41 fracción V.
Aquí es donde más avisos se pierden. Las operaciones se acumulan por cliente en periodos de hasta seis meses, y el umbral puede alcanzarse por la suma de operaciones que individualmente no lo alcanzaban.
Las reglas ahora exigen expresamente que este seguimiento se haga mediante mecanismos automatizados. Llevarlo a mano dejó de ser una opción defendible.
Lo que corre solo: ventana móvil de seis meses por cliente y por fracción, cálculo del umbral en UMA con el valor vigente, y aviso automático al cruzarlo.
Fundamento: artículos 19 y 41 fracción II.
Cada cliente necesita un perfil que describa su comportamiento esperado: monto, frecuencia, zona geográfica, origen y destino de recursos y actividad económica. Durante los primeros seis meses se construye con los montos máximos que el propio cliente declara, y ese dato debe cargarse al sistema de alertas para detectar inconsistencias. Después se reevalúa cada seis meses.
Lo que corre solo: construcción del perfil desde la operación real, conversión del monto declarado en umbral de alerta, comparación permanente entre lo esperado y lo efectivamente operado, recálculo semestral, y cola de alertas con registro de quién la atendió y qué decidió.
Fundamento: artículos 23 Ter 1 y 23 Ter 2.
Cada cliente se clasifica en al menos tres niveles: bajo, medio y alto. Y el nivel determina qué tan exhaustiva debe ser tu debida diligencia:
| Nivel | Qué implica |
|---|---|
| Bajo | Expediente simplificado, pero con documentos en original o copia certificada. |
| Medio | Expediente completo. Es el cambio con mayor impacto operativo del nuevo régimen. |
| Alto | Cuestionario reforzado, datos de cónyuge y dependientes, consulta a registros de la Secretaría de Economía para personas morales, y aprobación directiva si además es PEP. |
La reevaluación es al menos semestral, y más frecuente mientras más alto sea el nivel.
Lo que corre solo: cálculo del nivel, aplicación automática del checklist documental que corresponde, reevaluación programada, y conservación del histórico de cambios de nivel por diez años.
Fundamento: artículos 23 Bis a 23 Bis 4, 17, 17 Bis y 41 fracción IV.
El día 17 de cada mes es la fecha límite. Y ahora las reglas definen, fracción por fracción, exactamente qué fecha dispara el conteo del plazo.
Lo que corre solo: identificación de operaciones que son objeto de aviso, cálculo de la fecha correcta según la fracción, generación del aviso en formato oficial, validación de calidad antes del envío, envío con la e.firma de la entidad, conservación del acuse, y conciliación entre operaciones realizadas y avisos presentados para detectar faltantes.
También el informe en cero de los meses sin operaciones — que es obligatorio y que mucha gente olvida presentar precisamente porque no pasó nada. Si quieres el detalle operativo, está en presentar avisos en SPPLD.
Fundamento: artículos 24, 24 Bis, 24 Bis 1 y 25.
Diez años. Ese es el plazo de conservación para expedientes, avisos, acuses, evaluaciones de riesgo, históricos de nivel de riesgo y perfil, y evidencia de capacitación.
Esto importa más de lo que parece, porque el nuevo régimen de auditoría no evalúa si tienes las políticas escritas: evalúa la efectividad de su cumplimiento, obligación por obligación, con cinco calificaciones posibles. Y para demostrar efectividad necesitas evidencia, no buenas intenciones.
Lo que corre solo: retención por diez años, bitácora de quién consultó qué y cuándo, y exportación del expediente completo cuando llegue un requerimiento del SAT o el auditor pida papeles de trabajo.
Fundamento: artículos 10 Septies 3, 41 fracción IV, 46, 47 y 48.
La obligación de confidencialidad alcanza al consejo, directivos, Representante Encargado de Cumplimiento y a todos los empleados sin importar su esquema de contratación. Está expresamente prohibido avisarle al cliente que se presentó un aviso sobre él, que hay un requerimiento de la autoridad o que existe una orden de aseguramiento.
Lo que corre solo: control de accesos por rol, bitácora de toda consulta, y ocultamiento de la existencia de avisos a los perfiles no autorizados.
Fundamento: artículo 31.
Esta sección no busca alarmar. Busca que la conversación sobre presupuesto de cumplimiento se tenga con números reales.
Las multas se calculan en veces el valor diario de la UMA, que se actualiza cada febrero. El valor vigente en 2026 es de $117.31 pesos diarios.
| Conducta | Rango en UMA | Equivalente 2026 |
|---|---|---|
| Obligaciones del art. 18 | 200 a 2,000 | $23,462 a $234,620 |
| Beneficiario controlador | 2,000 a 10,000 | $234,620 a $1,173,100 |
| Omitir avisos o efectivo prohibido | 10,000 a 65,000, o del 10% al 100% del valor de la operación | $1,173,100 a $7,625,150, o hasta el valor total de la operación |
El primer renglón cubre identificar clientes, integrar expedientes, evaluación de riesgos, Manual, capacitación, mecanismos automatizados y auditoría; también no atender un requerimiento de la autoridad, presentar avisos sin los requisitos de forma, y presentar avisos con retraso de hasta 30 días. El segundo cubre además los avisos con más de 30 días de retraso.
Fundamento: artículos 53 y 54 de la LFPIORPI.
Un punto que conviene entender bien: la multa se aplica por cada obligación incumplida, no una sola vez. Una revisión que detecta que no tienes evaluación de riesgos, ni Manual actualizado, ni evidencia de capacitación, ni mecanismos automatizados, encuentra cuatro infracciones distintas.
Y en el último renglón, cuando la sanción se calcula como porcentaje del valor de la operación, no hay techo práctico. Una operación inmobiliaria de veinte millones sin aviso puede generar una multa de ese mismo tamaño.
Más allá del dinero, la ley contempla la suspensión temporal de actividades con determinados clientes y, para actividades que requieren permiso —como juegos y sorteos—, la revocación o cancelación del permiso en caso de infracciones reiteradas.
Fundamento: artículos 54 Bis y 56.
Aquí está la modificación más relevante de la reforma de 2025, y la que menos se comenta.
El artículo 62 sanciona con prisión de dos a ocho años y multa de 500 a 2,000 días a quien, para cumplir con las obligaciones de la ley:
Ese tercer supuesto es nuevo. Y viene acompañado del cambio de fondo: estos delitos ahora admiten la comisión culposa. Antes se requería dolo, es decir, intención de engañar. Hoy la negligencia basta.
En términos prácticos: subir una identificación escaneada que no se alcanza a leer, o enviar un aviso con datos incorrectos por descuido, entró al terreno penal.
La comisión culposa no se sanciona cuando media un error de tipo vencible y este se corrige de manera espontánea antes de que la autoridad tome conocimiento del delito.
Eso convierte la capacidad de detectar tus propios errores antes que el regulador en una protección legal concreta, no solo en buena práctica.
Fundamento: artículo 62 de la LFPIORPI, reformado el 16 de julio de 2025.
En el terreno administrativo existe un beneficio equivalente que conviene conocer:
Fundamento: artículo 55 de la LFPIORPI.
La conclusión operativa de las dos últimas secciones es la misma: el valor de un sistema de cumplimiento no está solo en evitar el error, sino en encontrarlo tú primero. Ahí es donde el monitoreo continuo deja de ser un costo administrativo y se vuelve una defensa.
| Fecha | Qué se activa |
|---|---|
| 30 nov 2026 | Entran en vigor las nuevas reglas. Catalogación de PEP. Buzón de notificaciones con revisión diaria. Alta de fideicomisos y figuras jurídicas. Nuevos criterios de identificación. |
| 1 ene 2027 | Inicia el primer periodo anual de capacitación. |
| 1 mar 2027 | Evaluación de riesgos disponible a requerimiento, elaborada con datos de 2026. Manual con la metodología incorporada. Clasificación de clientes por nivel de riesgo. Perfil transaccional. Identificación de beneficiario controlador. |
| 30 may 2027 | Proveedores de servicios de activos virtuales ya registrados: actualizar su información. |
| 1 jun 2027 | Mecanismos automatizados operando, con información desde esa fecha. |
| 30 ago 2027 | Se habilita la consulta oficial de PEP de la UIF. |
| 1 ene 2028 | Inicia el primer periodo de auditoría. |
| 31 mar 2029 | Entrega del primer dictamen de auditoría. |
| Por definir | Avisos de 24 horas: seis meses después de que se publique la nueva resolución de formatos oficiales. |
Si empiezas esta semana, este es el orden que tiene sentido.
Todo lo anterior se resume en una sola frase: tú te registras en el Portal, nosotros automatizamos el resto.
Lo que corre solo, sin que tengas que pensarlo:
Y en lo que sí requiere tu firma, no te dejamos solo:
Con Artu no tienes que preocuparte por el calendario ni por armar el expediente cuando toque la revisión. Nosotros lo tenemos listo.
Documento informativo. No constituye asesoría legal. Elaborado con base en la LFPIORPI (última reforma DOF 16 de julio de 2025), su Reglamento (DOF 27 de marzo de 2026) y el Acuerdo 115/2026 que modifica las Reglas de Carácter General (DOF 7 de agosto de 2026). Valor de la UMA 2026: $117.31 diarios, actualizable cada febrero. Para la aplicación a tu caso concreto, consulta con tu asesor jurídico.
Te mostramos con tus propios datos qué queda automatizado y qué decisiones siguen siendo tuyas. Implementación en 24 horas.
Agendar demo