Reforma a las Reglas de Carácter General de la LFPIORPI: los cambios relevantes y sus implicaciones para los sujetos obligados
Resumen
La publicación, el 7 de agosto de 2026, del Acuerdo por el que se modifican las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita representa un paso importante en la transformación del régimen de prevención de lavado de dinero aplicable a quienes realizan Actividades Vulnerables. Esta reforma debe analizarse conjuntamente con las modificaciones realizadas previamente a la LFPIORPI y a su Reglamento, pues en conjunto configuran un modelo de cumplimiento considerablemente más estructurado, preventivo y orientado a la gestión de riesgos.
Más que incorporar obligaciones aisladas, las nuevas Reglas modifican la forma en que los sujetos obligados deberán administrar, documentar, monitorear y acreditar su cumplimiento. El cambio más relevante consiste en la transición de un modelo predominantemente documental hacia un sistema de cumplimiento dinámico, en el que la información obtenida del Cliente o Usuario debe utilizarse para determinar su riesgo, establecer un Perfil Transaccional, monitorear su comportamiento, detectar desviaciones y, cuando corresponda, implementar medidas reforzadas y mitigantes.
Enfoque basado en riesgos
Sin duda, uno de los principales cambios de la reforma es la incorporación formal y detallada del Enfoque Basado en Riesgo (EBR). Las nuevas Reglas exigen que cada sujeto obligado desarrolle una metodología propia, documentada y acorde con las características de su actividad, clientes, operaciones y zonas geográficas. La metodología deberá permitir identificar, evaluar, medir y clasificar los riesgos, así como establecer medidas para su mitigación.
Este cambio tiene una implicación práctica importante: ya no resulta suficiente contar con políticas generales de PLD o con expedientes correctamente integrados. El sujeto obligado deberá demostrar que conoce los riesgos particulares de su operación y que sus controles responden a ellos.
A partir del 1 de marzo de 2027 deberá contar, entre otros elementos, con una metodología de evaluación de riesgos, un modelo para clasificar a sus Clientes o Usuarios en grados de riesgo, un Perfil Transaccional y medidas reforzadas para los casos de mayor exposición.
Asimismo, la metodología deberá actualizarse periódicamente y conservarse la documentación que permita acreditar su diseño, implementación y evolución.
El EBR, por tanto, no debe entenderse como un documento adicional dentro del expediente de cumplimiento. Su verdadera finalidad es convertirse en el eje que articule la identificación, conocimiento, monitoreo y seguimiento de Clientes o Usuarios.
El expediente de identificación deja de ser solo almacenamiento documental
Otro de los cambios relevantes se encuentra en el régimen de identificación y conocimiento del Cliente o Usuario. Las nuevas disposiciones fortalecen el concepto de expediente único de identificación y establecen mayores exigencias respecto de su integración, actualización y utilización.
Particularmente, el expediente deberá funcionar como una fuente permanente de información para el sistema de cumplimiento. A partir de la implementación del nuevo modelo, la información del Cliente deberá relacionarse con su grado de riesgo y Perfil Transaccional, permitiendo identificar modificaciones en su comportamiento y determinar si estas requieren una nueva evaluación.
Esta evolución implica pasar de un expediente que simplemente acredita que determinados documentos fueron recabados, a un expediente que permita demostrar cómo el sujeto obligado conoce, evalúa y monitorea a la persona con la que mantiene una relación de negocios.
La reforma también fortalece la identificación del Beneficiario Controlador, incluyendo la documentación de las acciones realizadas para determinar quién tiene dicha calidad. En consecuencia, el cumplimiento no deberá limitarse a obtener una manifestación del Cliente, sino que deberá existir evidencia del proceso seguido para identificar y, en su caso, verificar al Beneficiario Controlador.
El conocimiento del Cliente
La incorporación del Perfil Transaccional constituye una de las modificaciones que mejor refleja esta nueva lógica. El sujeto obligado deberá determinar cuál es el comportamiento esperado de cada Cliente o Usuario y posteriormente contrastarlo con las operaciones que efectivamente realice.
Monto, frecuencia, actividad económica, zona geográfica, origen y destino de los recursos y demás elementos relevantes deberán utilizarse para determinar dicho perfil. Durante los primeros seis meses podrá construirse con base en información estimada proporcionada por el propio Cliente y posteriormente deberá actualizarse, como mínimo, cada seis meses.
Esto significa que la debida diligencia deja de agotarse en el momento de apertura de la relación. El conocimiento del Cliente se convierte en un proceso continuo.
Más obligaciones tecnológicas y mayor trazabilidad
La reforma también incorpora una dimensión tecnológica mucho más evidente. Los Mecanismos Automatizados deberán permitir administrar expedientes, consolidar operaciones, monitorear el comportamiento transaccional, identificar desviaciones respecto del Perfil Transaccional, aplicar modelos de clasificación de riesgo y generar alertas, entre otras funciones.
La fecha límite para que estos mecanismos se encuentren implementados y operando es el 1 de junio de 2027.
Lo anterior representa un reto importante para los sujetos obligados que actualmente administran sus controles mediante herramientas fragmentadas, hojas de cálculo o procedimientos predominantemente manuales. La nueva regulación exige que la información pueda relacionarse, consolidarse y generar trazabilidad suficiente para demostrar cómo se toman las decisiones de prevención.
Por ello, la implementación tecnológica no debe comenzar cuando se aproxime la fecha límite. La definición de requerimientos, selección o adecuación de herramientas, migración de información y diseño de controles deberá formar parte de la estrategia de transición.
Nuevos escenarios de monitoreo y reporte
La reforma también modifica la lógica de los Avisos y fortalece los mecanismos de reporte. Entre los cambios relevantes se encuentran la precisión de la fecha en que se considera realizado un acto u operación para efectos de su reporte, las reglas de acumulación durante periodos de hasta seis meses y la incorporación de supuestos de Avisos dentro de las 24 horas.
Particularmente relevante resulta que determinados supuestos puedan generar obligaciones de reporte aun cuando la operación no llegue a concretarse. Las nuevas disposiciones contemplan, entre otros escenarios, operaciones intentadas, determinados hechos o indicios y coincidencias con listas de personas vinculadas. Esto amplía el alcance del monitoreo y obliga a los sujetos obligados a contar con procedimientos capaces de detectar y escalar oportunamente este tipo de eventos.
En consecuencia, el monitoreo ya no puede concentrarse exclusivamente en operaciones concluidas que superen determinados umbrales. El sistema de prevención deberá considerar también el comportamiento, las circunstancias de la operación, las alertas generadas y los elementos de riesgo identificados.
Personas Políticamente Expuestas
Otro cambio significativo es el nuevo esquema aplicable a las Personas Políticamente Expuestas. La reforma incorpora un sistema que comprende la integración y actualización de un listado nominativo, la consideración de personas asimiladas a PEP y la creación de una herramienta oficial de consulta.
La denominada “Consulta PEP 2.0” está prevista para habilitarse el 30 de agosto de 2027 y permitirá fortalecer los procesos de identificación y evaluación de riesgo mediante una fuente oficial de consulta.
Este cambio también implica una ampliación del análisis que debe realizarse respecto de determinadas relaciones, pues en los supuestos previstos por las Reglas el tratamiento de PEP deberá extenderse a determinadas personas vinculadas por relaciones familiares o patrimoniales.
El Manual de Políticas Internas adquiere mayor importancia
En este nuevo modelo, el Manual de Políticas Internas deja de ser un documento meramente formal. Su función será traducir las obligaciones regulatorias en políticas, criterios, procedimientos y controles aplicables a la operación concreta del sujeto obligado.
El Manual deberá incorporar, entre otros elementos:
Por ello, una de las primeras acciones que debería realizar cualquier sujeto obligado consiste en revisar si su Manual actual realmente refleja la forma en que opera, los riesgos que enfrenta y los controles que efectivamente aplica. Un Manual desactualizado o que no guarde congruencia con la operación puede convertirse en una debilidad relevante frente a una revisión de la autoridad.
Mayor exigencia sobre auditoría y evidencia de cumplimiento
Finalmente, la reforma fortalece el componente de evaluación y auditoría. La revisión deberá efectuarse de manera periódica y documentada, y su alcance deberá permitir identificar el nivel de cumplimiento de las obligaciones aplicables, así como las deficiencias, acciones correctivas y seguimiento correspondiente.
La modalidad de auditoría dependerá del nivel de riesgo determinado: para sujetos obligados de riesgo bajo o medio podrá realizarse auditoría interna o externa, mientras que para aquellos clasificados con riesgo alto deberá realizarse una auditoría externa independiente.
El primer periodo de auditoría bajo este nuevo esquema comprenderá del 1 de enero al 31 de diciembre de 2028, con emisión del dictamen correspondiente a más tardar en marzo de 2029.
Esto confirma una tendencia clara: el cumplimiento deberá poder demostrarse. No bastará con afirmar que existen políticas o procedimientos; será necesario conservar evidencia suficiente de su implementación, operación, seguimiento y eficacia.
La verdadera relevancia está en la transición
Uno de los aspectos que no debe perderse de vista es que la reforma no establece una única fecha de cumplimiento. Los artículos transitorios contemplan una implementación escalonada, con fechas relevantes que van desde el 30 de noviembre de 2026 hasta 2028 y 2029.
Entre los principales hitos se encuentran el:
1 de marzo de 2027
para la implementación del EBR y diversos elementos asociados al conocimiento del Cliente.
1 de junio de 2027
para los mecanismos automatizados.
30 de julio de 2027
para las notificaciones electrónicas.
30 de agosto de 2027
para la Consulta PEP 2.0.
2028
como primer ejercicio sujeto al nuevo esquema anual de auditoría.
Por ello, la estrategia adecuada no consiste en esperar a que cada obligación sea exigible. La transición debe comenzar desde ahora mediante un diagnóstico de brechas que permita identificar qué políticas, procedimientos, expedientes, sistemas, contratos, herramientas tecnológicas y controles deberán modificarse.
Conclusión
El nuevo modelo coloca al riesgo en el centro del sistema. La identificación del Cliente, el Beneficiario Controlador, el Perfil Transaccional, la clasificación de riesgo, el monitoreo, los mecanismos automatizados, las alertas, los mitigantes, el Manual de Políticas Internas y la auditoría dejan de funcionar como elementos independientes y pasan a formar parte de un mismo sistema de prevención.
En este contexto, uno de los principales retos para los sujetos obligados será lograr que exista congruencia entre lo que establece su documentación interna, la información que conservan, los procesos que realmente ejecutan y las herramientas mediante las cuales monitorean sus operaciones.
La autoridad no solo podrá revisar si existe un expediente o un manual, sino que el nuevo esquema exige contar con elementos que permitan acreditar cómo se identificó el riesgo, cómo se clasificó al Cliente, qué comportamiento se esperaba, qué operaciones se realizaron, qué alertas se generaron y qué medidas se adoptaron frente a los riesgos detectados.
Por ello, la implementación de la reforma debe abordarse como un proyecto integral de actualización del sistema de cumplimiento, y no como una serie de ajustes aislados. El primer paso debe ser identificar las brechas existentes; posteriormente, establecer prioridades, responsables y fechas de implementación, considerando el calendario previsto en los artículos transitorios.
En términos prácticos, esperar hasta que cada obligación sea exigible puede generar una implementación apresurada y fragmentada. Por el contrario, utilizar el periodo de transición para revisar la metodología de riesgos, actualizar el Manual de Políticas Internas, depurar expedientes, fortalecer los procesos de identificación y conocimiento, preparar los controles de PEP y Beneficiario Controlador, definir los requerimientos tecnológicos y establecer mecanismos de seguimiento permitirá llegar a las fechas de cumplimiento con un sistema ya preparado para operar bajo el nuevo régimen.
La reforma, en consecuencia, no debe entenderse únicamente como una nueva carga regulatoria. También representa una oportunidad para revisar la madurez del sistema de cumplimiento de cada sujeto obligado y determinar si este realmente permite prevenir, detectar, gestionar y acreditar los riesgos asociados con sus operaciones.
Próximamente
Módulo de PLD (Prevención de Lavado de Dinero)
Deje un comentario
Su dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *