El 16 de julio de 2025 se publicó en el Diario Oficial de la Federación («DOF») el Decreto que reformó y adicionó diversas disposiciones de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita («LFPIORPI» o «Ley»), así como el artículo 400 Bis del Código Penal Federal, con el objetivo de fortalecer el Sistema Nacional Antilavado y atender los compromisos de México ante el Grupo de Acción Financiera Internacional («GAFI»). En esencia, esa reforma amplió el catálogo de Actividades Vulnerables; modificó la definición de Beneficiario Controlador y sumó obligaciones para su identificación; incorporó a diversas autoridades al Sistema Nacional Antilavado; estableció la auditoría anual como obligación; ajustó las reglas del proceso de autocorrección; e introdujo la capacitación anual obligatoria de la Representante Encargada de Cumplimiento, entre otros aspectos.
Buena parte de estas obligaciones quedó sujeta a la actualización del Reglamento de la LFPIORPI (el «Reglamento») y de las Reglas de Carácter General («RCG»). La primera pieza de esa actualización llegó en marzo de 2026, con una reforma al Reglamento que precisó las facultades del Servicio de Administración Tributaria («SAT»), la lógica de acumulación de operaciones y del Aviso de 24 horas, y el régimen aplicable a Personas Políticamente Expuestas («PEP»), entre otros aspectos. La segunda pieza —y el objeto central de este análisis— es la reforma a las RCG que emitió la Secretaría de Hacienda y Crédito Público el 7 de agosto de 2026.
Esta reforma a las RCG introduce doce ejes de cambio que van desde el Enfoque Basado en Riesgos hasta el Beneficiario Controlador, los mecanismos automatizados de monitoreo y la auditoría anual, con una entrada en vigor de las obligaciones escalonada entre 2026 y 2028. El presente análisis se concentra en esos doce ejes y en lo que representan para el día a día de los sujetos obligados, y cierra con un cronograma que ordena cronológicamente las acciones recomendadas para su cumplimiento. En cada eje se indica la obligación de origen, ya sea en la Ley o en el Reglamento, pues las RCG en su mayoría no crean obligaciones nuevas, sino que complementan operativamente las reformas mencionadas.
Alta y Registro de Actividades Vulnerables
La reforma refuerza el proceso de alta y registro de Actividades Vulnerables. El artículo 17 de la Ley define quiénes realizan Actividades Vulnerables y el artículo 18, fracción IV Bis les impone darse de alta y registrarse en el Padrón, a través del Portal. Las RCG añaden un régimen específico de alta para quienes actúan a través de fideicomisos u otras figuras jurídicas, como la asociación en participación.
Las reformas resultan especialmente relevantes para quienes ofrecen el intercambio de activos virtuales. Quienes aún no estén dados de alta deberán presentar la información del artículo 10 Bis al solicitar su registro en el Portal; quienes ya se encontraban registrados con anterioridad a la entrada en vigor de las reformas a las RCG deberán actualizarla a más tardar el 30 de mayo de 2027 (seis meses siguientes a la entrada en vigor, conforme al Transitorio Décimo Segundo). Además, varios de los Anexos de identificación fueron modificados con cambios de fondo que exigen actualizar procesos y formatos internos. Los más relevantes son: (i) la exclusión expresa de la cédula profesional como documento de identificación válido en todos los Anexos de clientes o usuarias; (ii) la sustitución de la constancia de pregunta sobre el Beneficiario Controlador por una obligación de identificación efectiva del mismo, aplicable a personas morales, fideicomisos y organismos internacionales; (iii) la incorporación de dos nuevos Anexos (2 Bis y 2 Ter) que exigen mapear y registrar la estructura completa de los fideicomisos y otras figuras jurídicas con los que se realice la Actividad Vulnerable; (iv) la habilitación expresa de la firma electrónica para la constancia del Beneficiario Controlador en expedientes de personas físicas, lo que permite formalizar procesos de incorporación de clientes de manera remota; y (v) la obligación de identificar al Beneficiario Controlador de la propia Entidad Colegiada al solicitar el convenio de presentación colectiva de avisos.
Enfoque Basado en Riesgos
La obligación de contar con un Enfoque Basado en Riesgos («EBR») no es creada por las RCG. Fue incorporada desde la reforma a la LFPIORPI en su artículo 18, fracción VII, que obligó a quienes realizan Actividades Vulnerables a llevar una evaluación que permita identificar, analizar, mitigar sus Riesgos de los Clientes o Usuarias. Sin embargo, los artículos transitorios de la Ley dejaron su entrada en vigor sujeta a las RCG. Por lo tanto, tras la reforma a las RCG, se incorporó en el Capítulo II Quáter la obligación de contar con una metodología que deberá permitir identificar, analizar, entender, medir y mitigar los riesgos derivados de las Actividades Vulnerables, considerando por lo menos el tipo de actos u operaciones realizadas, los Clientes o Usuarias, los países y áreas geográficas involucradas, así como las transacciones y canales utilizados. También deberán identificarse los controles o mitigantes existentes y evaluarse su aplicación efectiva. La metodología deberá constar en el Manual de Políticas Internas o en otro documento, considerar la información aplicable de la Evaluación Nacional de Riesgos y sus actualizaciones y construirse con información de la operación correspondiente a un periodo no menor a doce meses. Además, deberá existir consistencia entre los datos utilizados para la evaluación y aquellos contenidos en los mecanismos automatizados.
Un punto relevante es que la evaluación deberá realizarse también antes de implementar nuevos medios, canales, modalidades, productos o servicios, o de dirigir la actividad a nuevos tipos de Clientes o Usuarias. Esto incorpora el análisis de riesgo a decisiones que anteriormente podían considerarse principalmente comerciales u operativas. Asimismo, el SAT podrá revisar la metodología y los Mitigantes, requerir ajustes y solicitar planes de acción, por lo que la evaluación se convierte en un elemento supervisable del sistema de cumplimiento y no únicamente en un documento interno. Deberá estar disponible para la autoridad, previo requerimiento, a partir del 1 de marzo de 2027.
Grado de Riesgo y un Perfil Transaccional
La reforma incorpora un segundo nivel de análisis: además del riesgo general al que está expuesto el sujeto obligado, deberá evaluarse el Grado de Riesgo individual de cada Cliente o Usuaria.
El artículo 23 Bis exige establecer, por lo menos, tres clasificaciones: bajo, medio y alto; el artículo 23 Bis 1 obliga a reevaluar al Cliente o Usuaria al menos cada seis meses, aumentando la frecuencia cuando su nivel de riesgo sea mayor. Para determinar la clasificación, el artículo 23 Bis 2 considera elementos como:
- actividad económica
- nacionalidad
- residencia
- fuentes de ingreso
- propósito de la relación
- volumen
- frecuencia
- monto de operaciones
- origen
- destino de recursos.
También se introduce formalmente el Perfil Transaccional, que busca determinar cuál es el comportamiento esperado de cada cliente tomando en cuenta la información disponible, el número y monto de operaciones, su frecuencia y el origen y destino de los recursos. Sobre esa base deberá implementarse un sistema de alertas que permita identificar oportunamente cambios o desviaciones en su comportamiento.
Anteriormente, con la reforma de 2025 se modificó el artículo 18, fracción I de la LFPIORPI para reforzar la obligación de identificar y conocer de manera directa a los Clientes o Usuarias y verificar su identidad.. Lo relevante en esta reforma es que la obligación de “identificar y conocer” se desdobla en una parte documental y otra de seguimiento durante la relación; distinguiendo dos obligaciones complementarias: la identificación (integrar el expediente con los datos y documentos del Cliente o Usuaria al inicio de la relación) y el conocimiento del cliente (comprender su actividad, el origen de sus recursos y su comportamiento esperado durante la Relación de Negocios); la reforma refuerza sobre todo lo segundo. Si bien anteriormente ya debía verificarse al menos una vez al año que los expedientes de clientes o usuarias se encontraran completos y actualizados, ahora el conocimiento del cliente deberá extenderse también a su comportamiento durante la relación.
En la práctica, una operación que individualmente no supere el umbral puede generar una alerta si se aparta significativamente de lo que el sujeto obligado conoce del cliente. De esta manera, la información recabada durante el proceso de identificación deja de ser únicamente documental y empieza a tener consecuencias sobre el monitoreo, clasificación de riesgo y eventual presentación de Avisos. Estas políticas internas de quienes realicen Actividades Vulnerables deberán estar completamente definidas a del 1 de marzo del 2027.
Personas Políticamente Expuestas
Las nuevas RCG incorporan un capítulo específico sobre Personas Políticamente Expuestas. Conforme al artículo 23 Quáter, se considera PEP a la persona física que desempeña o ha desempeñado funciones públicas relevantes, en México o en el extranjero, tales como jefes de estado o de gobierno, líderes políticos, funcionarios gubernamentales, judiciales o militares de alta jerarquía, altos ejecutivos de empresas estatales y funcionarios o miembros importantes de partidos políticos y organizaciones internacionales. Se asimilan a esta categoría el cónyuge, la concubina o concubinario, los parientes por consanguinidad o afinidad hasta el segundo grado y los socios o asociados con vínculos patrimoniales. Una PEP nacional conserva ese carácter durante el año siguiente a la separación del cargo.
Para verificar esta calidad, el artículo 23 Quáter 1 introduce, por primera vez, la posibilidad de consultar la aplicación Consulta PEP 2.0 de la Unidad de Inteligencia Financiera («UIF»), mecanismo que podrá ser utilizado tanto por quienes realizan Actividades Vulnerables, utilizando su Firma Electrónica Avanzada, como por Entidades Financieras previa habilitación de la UIF. Cuando un Cliente o Usuaria sea PEP y, además, tenga Grado de Riesgo alto, deberán aplicarse medidas de debida diligencia reforzada: obtener la aprobación de un directivo, o dejar constancia de los motivos cuando quien realiza la Actividad Vulnerable sea persona física, antes de celebrar el acto u operación y, tratándose de PEP extranjeras, recabar documentación adicional. La consulta a través de Consulta PEP 2.0 estará disponible nueve meses después de la entrada en vigor. Considerando que la reforma a las RCG entrará en vigor el 30 de noviembre de 2026, se espera que la herramienta pueda comenzar a utilizarse a partir del 30 de agosto de 2027.
Beneficiario Controlador
La reforma legal de julio de 2025 ya modificó el concepto de Beneficiario Controlador: redujo el umbral de control del 50% al 25%, creó el Capítulo IV Bis con el registro ante la Secretaría de Economía, y equiparó la figura a «beneficiario final» y «propietario real».
Sin embargo, las RCG desarrollan el aspecto operativo de aquellas obligaciones. Antes, las RCG no tenían ningún apartado dedicado al Beneficiario Controlador; la identificación del entonces llamado «Dueño Beneficiario» se resolvía con menciones contadas en el artículo 12 y sus anexos. Las nuevas RCG crean el Capítulo III Quinquies «Del Beneficiario Controlador» (artículos 23 Quinquies a 23 Quinquies 3), que constituye la novedad más importante en esta materia y, dentro de él, introduce la metodología jerárquica para identificar en todo caso al Beneficiario Controlador de un cliente persona moral y, de resultar aplicable, a personas físicas. Ahora se establece un orden secuencial que consiste en identificar, primero, a quien posea directa o indirectamente el 25% o más del capital social; si esto no permite identificarlo, a quien tenga el control por otros medios relacionados con la estrategia, dirección o toma de decisiones; y, en su defecto, al funcionario de mayor jerarquía.
En el caso de fideicomisos, las nuevas RCG detallan por primera vez quiénes pueden tener el carácter de Beneficiario Controlador (fiduciarios, fideicomitentes, fideicomisarios, protectores, miembros del comité técnico) y obligan a ascender en la cadena de titularidad y control cuando alguna de esas figuras sea a su vez persona moral o estructura jurídica, hasta llegar a la persona física que ejerce el control en última instancia.
Es importante distinguir esta identificación – que hacen los sujetos obligados respecto de sus clientes – de una obligación distinta y de alcance más amplio que introdujo la Ley desde 2025 en su Capítulo IV Bis: la de que las propias sociedades mercantiles identifiquen a su propio Beneficiario Controlador y registren esa información en el sistema electrónico que administrará la Secretaría de Economía (artículos 33 Bis y 33 Ter de la Ley). Las RCG reformadas no desarrollan esta obligación societaria, sino únicamente la obligación de identificación de quienes realizan actividades vulnerables respecto de sus clientes, por lo que ambos regímenes conviven de manera paralela.
Por otro lado, las nuevas RCG obligan expresamente a documentar el procedimiento seguido para identificar al Beneficiario Controlador – no solo el resultado -, a conservar la información y registros que lo sustenten, y a mantenerlos actualizados durante toda la vigencia de la relación de negocios. También se reafianza un listado cerrado de excepciones en las que no será necesario recabar los datos del Beneficiario Controlador: cuando el cliente cotice en bolsa de valores mexicana o en mercados extranjeros reconocidos, o cuando se trate de alguna de las personas morales listadas en los Anexos 4 Bis, 6 Bis, 7-A y 7 Bis-A de las RCG.
Otra novedad relevante es que las RCG conectan la identificación del Beneficiario Controlador con la nueva metodología de evaluación de riesgos, también de nueva creación: el artículo 23 Bis 4 de las RCG obliga a clasificar como riesgo alto a ciertos clientes no residentes vinculados con jurisdicciones de riesgo o regímenes fiscales preferentes, así como a las Personas Políticamente Expuestas extranjeras.
Adicionalmente, el artículo 23 Quinquies 3 faculta a la UIF a emitir lineamientos, previa opinión del SAT, para el cumplimiento de todo este capítulo, mismos que se darán a conocer a través del Portal en Internet sin necesidad de modificar las RCG.
Avisos de 24 horas
Junto al esquema de avisos por montos, la reforma detalla el Aviso de 24 horas (artículo 7 Bis del Reglamento), que procede incluso cuando la operación no llega a celebrarse, y detalla los Informes, concepto que el Reglamento reformado incorporó como categoría autónoma en su artículo 2 (definida como aquella que se presenta conforme a las reglas de carácter general), distinta de los Avisos, sobre la cual el SAT ejerce facultades de recepción y supervisión.
Avisos por Sospecha
La reforma vincula los nuevos Perfiles Transaccionales y sistemas de alertas con la presentación del Aviso por Sospecha. A partir del conocimiento del cliente y su comportamiento esperado, deben detectarse operaciones o conductas que se aparten de dicho perfil, analizarlas y determinar si existen elementos que las relacionen con operaciones con recursos de procedencia ilícita. Una desviación del Perfil Transaccional genera una alerta y obliga a analizarla, pero no implica automáticamente un Aviso dentro de 24 horas: este solo procede cuando el análisis arroje elementos que vinculen la operación con recursos de procedencia ilícita y permitan identificar a la persona involucrada.
Manual de Políticas Internas
El Manual de Políticas Internas es una obligación del artículo 18, fracción VIII de la Ley, que la remite a las RCG para su desarrollo. Anteriormente ya se exigía en éstas contar con un documento que desarrollara lineamientos de identificación de clientes y determinados criterios, medidas y procedimientos internos, sin embargo, las nuevas RCG sustituyen esa lógica por un verdadero Manual de Políticas Internas, que deberá integrar la metodología de riesgos y contener procedimientos relacionados con identificación y conocimiento del cliente, clasificación por riesgo, debida diligencia, PEP, Perfil Transaccional, Avisos, acumulación de operaciones, capacitación, auditoría y demás elementos exigidos por las RCG.
Además, el Manual deberá establecer los criterios para determinar la apertura, limitación o terminación de relaciones comerciales, los cuales deberán ser congruentes con la metodología de riesgo. El SAT incluso podrá ordenar modificaciones cuando considere que sean necesarias para el correcto cumplimiento de las Reglas. El Manual actualizado, incluyendo la metodología de riesgo así como los demás requisitos del Manual estipulados en las RCG vigentes, deberá estar disponible a partir del 1 de marzo de 2027.
Mecanismos Automatizados
El monitoreo mediante mecanismos automatizados es una obligación del artículo 18, fracción X de la Ley, incorporada en 2025, cuyo detalle operativo se remitió a las RCG. Los mecanismos automatizados pueden implementarse mediante hojas de cálculo, bases de datos u otros medios equivalentes, -no necesariamente software especializado-, siempre que cumplan las funciones exigidas y sean verificables ante la autoridad.
Estos mecanismos deben de permitir, entre otras funciones, conservar y consultar expedientes, consolidar las operaciones realizadas por un mismo cliente, detectar desviaciones de su Perfil Transaccional, realizar acumulaciones, alimentar la metodología de riesgo, ejecutar el modelo de clasificación de clientes y generar alertas. También deberá conservarse por un plazo no menor a diez años el histórico de modificaciones del Grado de Riesgo y Perfil Transaccional y deberán encontrarse implementados a más tardar el 1 de junio de 2027.
Notificaciones Electrónicas
La reforma también modifica el régimen de notificaciones de la autoridad. La consulta del Portal, antes quincenal, pasa a ser obligatoria al menos una vez cada día hábil (artículos 5 y 6 de las RCG), y la notificación electrónica se tiene por realizada al cuarto día hábil siguiente a su envío, aun cuando el sujeto obligado no la haya abierto. En la práctica conviene designar a un responsable y a un suplente de la consulta diaria y llevar una bitácora de acceso, pues los plazos correrán con independencia de que el Portal se revise o no.
Auditoría
Las nuevas RCG también complementan la obligación de presentar la auditoría anual prevista en el artículo 18, fracción XI de la Ley, incorporada en 2025, que debe cubrir del 1° de enero al 31 de diciembre de cada año, y entregar el dictamen a más tardar el último día hábil del mes de marzo siguiente al año auditado.
En línea con el artículo 12 Bis del Reglamento, que ya exige obtener y conservar el dictamen derivado de auditoría interna o externa, así como la documentación que acredite la corrección de observaciones o inconsistencias, las RCG regulan de manera más detallada la periodicidad, el alcance y la evidencia que debe respaldar ese ejercicio.
La auditoría pretende evaluar la congruencia entre lo que establece el Manual de Políticas Internas, la metodología de riesgo, la clasificación de clientes y lo que efectivamente ocurre en la operación.
El tipo de auditor dependerá del Riesgo del sujeto obligado: cuando el riesgo es bajo o medio, la auditoría interna es suficiente, y voluntariamente se puede realizar por una persona externa e independiente; si el riesgo es alto entonces la auditoría necesariamente debe realizarse por una persona externa e independiente. Esta persona deberá contar con una certificación vigente emitida por la UIF y cumplir con reglas estrictas de independencia frente al sujeto obligado.
El primer periodo anual de auditoría correrá del 1° de enero al 31 de diciembre de 2028, y el dictamen deberá entregarse al sujeto auditado a más tardar el último día hábil de marzo de 2029. La documentación soporte de ese dictamen, así como la evidencia de corrección de observaciones, deberá conservarse por un plazo no menor a cinco años, de conformidad con el artículo 51 de las RCG, contados a partir de la entrega del dictamen, y entregarse al SAT cuando sea requerida.
Capacitación y Selección
En las nuevas RCG se desarrolla ahora el contenido mínimo de la capacitación, su relación con la metodología de EBR, la experiencia requerida de quienes la impartan, la evidencia que deberá conservarse y los requisitos aplicables al proceso de selección.
Quienes realizan Actividades Vulnerables deberán implementar programas de capacitación dirigidos a los miembros del consejo de administración, al administrador único, directivos, funcionarios, la Representante Encargada de Cumplimiento y a los empleados que atiendan al público, identifiquen clientes, envíen Avisos o realicen auditoría.
Los cursos deberán impartirse al menos una vez al año, ser congruentes con la metodología de riesgo y ser impartidos por personas con experiencia mínima de cinco años en la materia. La evidencia documental de la capacitación deberá conservarse por un plazo mínimo de diez años (artículo 39 Bis 1).
Por otro lado, en la selección de personal, deberá obtenerse una declaración firmada sobre experiencia previa en sectores obligados y sobre la ausencia de sentencias por delitos patrimoniales o de inhabilitaciones.
Asociaciones y Sociedades sin Fines de Lucro
La reforma también dirige medidas específicas a las Asociaciones y sociedades sin fines de lucro. Conforme a los artículos 38 Bis a 38 Bis 2, la UIF aplicará medidas proporcionales y basadas en riesgo relacionadas con el delito previsto en el artículo 139 Quáter del Código Penal Federal, que incluirán programas de capacitación y difusión, así como el monitoreo de las operaciones vinculadas con donantes o países de alto riesgo.
Cronograma de Cumplimiento
| Fecha | Fundamento | Acción recomendada |
| 7 de agosto de 2026 | Publicación en el DOF del Acuerdo 115/2026 (reforma a las RCG). Se emite con fundamento en el art. 6, fr. VII de la Ley. | N/A |
| 30 de noviembre de 2026 | Entrada en vigor general de las nuevas RCG (Transitorio Primero). Deriva de los transitorios de la reforma a la Ley de 2025, que difirieron su vigencia a las RCG. | A partir de ella las nuevas RCG resultan obligatorias y comienzan a correr los plazos que se describen en este cronograma. |
| 1° de enero de 2027 | Inicio del primer periodo anual de capacitación (Transitorio Séptimo; art. 39 Bis). Ley: art. 18, fr. IX y art. 20. | Impartir, al menos una vez al año, los cursos o talleres de capacitación dirigidos al consejo de administración, al administrador único, directivos, funcionarios, la Representante Encargada de Cumplimiento y al personal que atienda al público, identifique clientes, envíe Avisos o realice auditoría (art. 39 Bis). |
| 1 de marzo de 2027 | Metodología de riesgo disponible ante la autoridad, previo requerimiento (Transitorio Segundo). Ley: art. 18, fr. VII (y art. 19, medidas simplificadas por riesgo). | Contar con la metodología de Enfoque Basado en Riesgos disponible para la autoridad, previo requerimiento. |
| 1 de marzo de 2027 | Manual de Políticas Internas actualizado, con la metodología de riesgo (Transitorio Tercero). Ley: art. 18, fr. VIII. | Contar con el Manual de Políticas Internas actualizado, integrando la metodología de riesgo, así como los criterios y procedimientos para dar cumplimiento a cada una de las obligaciones en materia PLD/FT (art. 37 Bis). |
| 1 de marzo de 2027 | Clasificación por Grado de Riesgo, Perfil Transaccional y procedimiento de Beneficiario Controlador aplicables a los actos u operaciones (Transitorio Cuarto). Ley: art. 18, fr. I y III. | Aplicar a los actos u operaciones la clasificación por Grado de Riesgo (bajo, medio o alto) y el Perfil Transaccional, y documentar el procedimiento de identificación del Beneficiario Controlador. |
| 1 de marzo de 2027 | Nuevos procedimientos de selección de personal aplicables a nuevas contrataciones (Transitorio Sexto; art. 39 Bis 2). Ley: art. 18, fr. IX. | Aplicar a las nuevas contrataciones los procedimientos de selección de personal, incluida la declaración firmada prevista en el art. 39 Bis 2. |
| 30 de mayo de 2027 | Fecha límite (6 meses desde la entrada en vigor) para actualizar la información del art. 10 Bis, aplicable a quienes realicen ofrecimiento habitual y profesional de intercambio de activos virtuales. | Para los proveedores de servicios con activos virtuales ya registrados previo a la entrada en vigor de las reformas a las RCG, actualizar y entregar la información del art. 10 Bis. |
| 1 de junio de 2027 | Fecha límite para tener implementados los mecanismos automatizados (Transitorio Noveno; art. 41). Ley: art. 18, fr. X. | Los mecanismos automatizados deben cumplir las funciones del art. 41 RCG. |
| 30 de julio de 2027 | Fecha límite (8 meses desde la entrada en vigor) para que la Secretaría implemente el sistema de notificaciones electrónicas. | Obligación aplicable a la Secretaría. |
| Máximo el 30 de agosto de 2027 | Fecha límite (9 meses desde la entrada en vigor) para que esté disponible la consulta a la UIF sobre Personas Políticamente Expuestas mediante la aplicación Consulta PEP 2.0. | A partir de esta fecha, podrá consultarse a la UIF cuando no pueda determinarse si un Cliente o Usuaria es Persona Políticamente Expuesta. |
| 31 de diciembre de 2027 | Cierre del primer periodo anual de capacitación (Transitorio Séptimo). Ley: art. 18, fr. IX y art. 20. | Conservar la evidencia documental de la capacitación por un plazo mínimo de diez años (art. 39 Bis 1). |
| 1 de enero de 2028 | Inicio del ejercicio 2028, primer periodo sujeto a auditoría anual (Transitorio Octavo; art. 42). Ley: art. 18, fr. XI; Reglamento: art. 12 Bis. | Comenzar a integrar la evidencia del ejercicio 2028 (metodología de riesgo, clasificación de clientes, Perfil Transaccional, Avisos y demás controles del Manual de Políticas Internas) que respaldará la auditoría interna o externa correspondiente. |
| 31 de diciembre de 2028 | Cierre del ejercicio 2028, periodo evaluado por la primera auditoría anual. | A partir de esta fecha corre el plazo para que el auditor evalúe efectividad del cumplimiento durante 2028 y emita el dictamen. |
| Último día hábil de marzo de 2029 | Fecha límite para la emisión del dictamen de la primera auditoría anual, correspondiente al ejercicio 2028. | Recibir dictamen y presentar resultados al órgano de administración, dirección general u órgano equivalente; dar seguimiento a los programas de acción correctiva. |
| Pendiente de fecha | El envío de los nuevos Avisos procede 6 meses después de que entre en vigor la Resolución que expida los nuevos formatos oficiales. | Sin acción exigible hasta que se publique la Resolución que expida los nuevos formatos oficiales; a partir de su entrada en vigor correrán 6 meses para adecuarse. |
Conclusión
Esta reforma traslada el centro de gravedad del cumplimiento de un modelo documental —expedientes completos, avisos presentados a tiempo— a un modelo de vigilancia continua, donde el conocimiento del cliente, la clasificación de riesgo y el monitoreo automatizado deben sostenerse de manera consistente y estar disponibles para revisión del SAT en cualquier momento. El sujeto obligado que hoy cumple solo con el estándar documental enfrentará, en 2027 y 2028, exigencias de trazabilidad, tecnología y evidencia que no puede improvisar sobre la marcha.
Las fechas límite de marzo y junio de 2027 dejan menos de un año de holgura real para: (i) rediseñar la metodología de EBR y el Manual de Políticas Internas; (ii) construir o adaptar los mecanismos automatizados que exige el artículo 41; y (iii) definir si la auditoría 2028 se cubrirá con personal interno o si se requiere contratar a un auditor externo certificado por la UIF —decisión que conviene tomar con anticipación suficiente.
Si su organización realiza Actividades Vulnerables y desea evaluar el impacto concreto de las reformas, nuestro equipo de cumplimiento PLD/FT está disponible para realizar un gap analysis frente a estas obligaciones y acompañar su hoja de ruta de implementación.
Para más información sobre la reforma al Reglamento de la LFPIORPI visita
