En una frase: la autoridad espera un sistema preventivo que conecte expedientes, monitoreo, alertas, capacitación, tecnología y auditoría con el nivel de riesgo real de cada actividad y cliente.
¿Qué se publicó?
El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, conocida comúnmente como la ley antilavado.
El Acuerdo entra en vigor, de manera general, el 30 de noviembre de 2026. Sin embargo, varias obligaciones tienen fechas posteriores. Esto abre una ventana de preparación, pero no conviene esperar al último momento: muchas medidas requieren información histórica, cambios de procesos, capacitación y herramientas de seguimiento.
¿A quién le importa esta reforma?
Principalmente, a las personas y empresas que realizan alguna de las Actividades Vulnerables previstas en el artículo 17 de la Ley. Entre ellas se encuentran, según el supuesto y los umbrales aplicables, actividades vinculadas con inmuebles, vehículos, joyería y metales preciosos, juegos y sorteos, tarjetas y monederos, activos virtuales, préstamos no financieros, construcción o desarrollo inmobiliario, ciertos servicios profesionales, fe pública, comercio exterior, arrendamiento y recepción de donativos.
La obligación concreta depende de la actividad, la forma de operar, los montos y la relación con cada cliente. Por eso, el primer paso es confirmar si la empresa realiza una Actividad Vulnerable y bajo qué fracción y umbrales.
Los cambios más importantes, explicados sin tecnicismos
1. Cada negocio deberá medir su propio riesgo
Quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología de evaluación de riesgos. En palabras sencillas, la empresa tendrá que identificar en qué partes de su operación existe mayor posibilidad de ser utilizada para lavar dinero o financiar actividades ilícitas.
La evaluación deberá considerar, por lo menos:
- los actos u operaciones que realiza;
- el tipo de clientes o usuarios que atiende;
- los países y zonas geográficas involucrados;
- las transacciones y los canales por los que se prestan o distribuyen los servicios; y
- los controles que ya existen para reducir esos riesgos.
La metodología debe quedar documentada y utilizar información de un periodo no menor a doce meses. Si el negocio es nuevo, podrá comenzar con datos proyectados y actualizar el análisis al cumplir sus primeros doce meses de operación. También deberá revisarse cuando aparezcan nuevos riesgos, cuando cambie la Evaluación Nacional de Riesgos o, como máximo, dentro de los doce meses siguientes a contar con los resultados de su implementación.
2. Los clientes deberán clasificarse por nivel de riesgo
Ya no bastará con reunir una identificación y guardar el expediente. Cada cliente o usuario deberá recibir una clasificación individual de riesgo, al menos en tres niveles: bajo, medio y alto.
La clasificación inicial parte de la información del cliente y debe reevaluarse, por lo menos, cada seis meses. La revisión tendrá que ser más frecuente cuando el riesgo sea mayor. Para clasificar se observarán características personales o corporativas, giro, residencia, fuentes de ingreso, propósito de la relación, volumen y frecuencia de operaciones, contrapartes, origen y destino de recursos, moneda e instrumentos utilizados, entre otros factores.
3. Será necesario entender el comportamiento esperado de cada cliente
Las reglas incorporan el concepto de perfil transaccional: una referencia de cómo se espera que opere el cliente en cuanto a montos, frecuencia, origen y destino de recursos y demás circunstancias relevantes.
La empresa deberá monitorear las operaciones y contar con alertas para detectar cambios o movimientos que se aparten de ese perfil. El perfil también deberá evaluarse al menos cada seis meses cuando exista información suficiente. Si un cliente es de alto riesgo, se pedirá mayor información y se aplicará un seguimiento reforzado.
4. Aumenta la atención sobre PEP y clientes de alto riesgo
Las Personas Políticamente Expuestas, o PEP, son personas que desempeñan o han desempeñado funciones públicas relevantes, en México o en el extranjero. La definición también alcanza a ciertos familiares y personas con vínculos patrimoniales.
Las PEP extranjeras y determinados clientes vinculados con jurisdicciones de mayor riesgo deberán considerarse, como mínimo, de alto riesgo. Cuando una PEP además sea clasificada como de alto riesgo, la operación necesitará la aprobación de un directivo o equivalente, de acuerdo con el manual interno.
5. El beneficiario controlador debe identificarse hasta llegar a una persona física
Cuando el cliente sea una persona moral, no será suficiente quedarse con el nombre de la sociedad. Será necesario documentar el camino seguido para identificar a la persona física que, en última instancia, posee o controla al cliente.
Las reglas establecen un orden: primero se busca a quien tenga directa o indirectamente 25% o más del capital; si eso no resuelve el caso, se identifica a quien controla por otros medios; y, en última instancia, a la persona que ocupa el puesto administrativo de mayor jerarquía. En fideicomisos, el análisis deberá subir por la cadena de titularidad y control hasta encontrar a la persona física que ejerce el control efectivo.
6. El Manual de Políticas Internas se vuelve la columna vertebral
El manual ya no puede ser un formato genérico guardado en una carpeta. Debe reflejar cómo opera realmente el negocio e incluir, entre otros temas:
- identificación y conocimiento de clientes;
- clasificación de riesgos y debida diligencia según cada nivel;
- seguimiento de PEP y detección de operaciones fuera del perfil transaccional;
- presentación de avisos e informes y acumulación de operaciones;
- conservación y confidencialidad de la información;
- funciones del responsable de cumplimiento;
- capacitación, controles internos y auditoría; y
- la metodología de evaluación de riesgos y los criterios para iniciar, limitar o terminar relaciones comerciales.
7. La capacitación deberá ser anual y dejar evidencia
La capacitación deberá alcanzar a quienes participan en decisiones, atención al público, identificación de clientes, presentación de avisos y auditoría. Tendrá que impartirse por lo menos una vez al año, incluir evaluaciones y conservar materiales, listas, constancias y demás evidencia durante un mínimo de diez años.
Un punto importante: quien imparta la capacitación deberá acreditar al menos cinco años de experiencia en prevención de lavado de dinero y delitos relacionados.
8. La tecnología debe ayudar a detectar, no sólo a archivar
Los mecanismos automatizados pueden ir desde sistemas especializados hasta procesos verificables apoyados en hojas de cálculo o bases de datos. Lo importante es que sean proporcionales al volumen y complejidad de la operación y que cumplan funciones concretas: mantener expedientes, consolidar operaciones por cliente, alimentar la evaluación de riesgos, clasificar clientes, conservar históricos, generar alertas y monitorear el uso de efectivo y metales preciosos.
9. Habrá una auditoría anual del sistema de cumplimiento
La efectividad del cumplimiento deberá revisarse cada año. Si el riesgo de la actividad se evalúa como bajo o medio, la revisión podrá realizarla un área interna independiente del responsable de cumplimiento. Si el riesgo es alto, o si la empresa así lo decide, el dictamen deberá emitirlo una persona auditora externa independiente que reúna los requisitos previstos en las reglas.
El dictamen deberá identificar hallazgos, acciones correctivas, responsables, plazos y una proyección económica de las multas que podrían generarse si los problemas no se corrigen.
Fechas clave para prepararse
30 de noviembre de 2026: entrada en vigor general del Acuerdo.
1 de marzo de 2027: la evaluación de riesgos deberá estar disponible ante requerimiento. Quienes ya estén registrados y hayan agotado el plazo aplicable de 90 días deberán contar con su Manual y la metodología. Además, empiezan a aplicarse las reglas de clasificación de clientes, conocimiento del cliente y beneficiario controlador a las operaciones realizadas desde esa fecha.
1 de marzo de 2027: los procedimientos de selección de personal se aplicarán a las nuevas contrataciones.
Durante 2027: se desarrollará el primer periodo anual de capacitación, del 1 de enero al 31 de diciembre.
1 de junio de 2027: fecha límite para contar con mecanismos automatizados; deberán incluir las operaciones realizadas a partir de ese día.
Nueve meses después de la entrada en vigor: podrá realizarse la consulta de PEP prevista en el Acuerdo.
1 de enero al 31 de diciembre de 2028: primer periodo anual de auditoría.
Importante: algunos avisos especiales dependerán de la entrada en vigor de la resolución que modifique los formatos oficiales. Por ello será necesario vigilar publicaciones posteriores de la UIF y el SAT.
¿Qué puede hacer una empresa desde hoy?
- Confirmar si realiza una Actividad Vulnerable y documentar los supuestos y umbrales aplicables.
- Revisar la calidad y actualización de los expedientes de clientes y beneficiarios controladores.
- Mapear operaciones, clientes, zonas geográficas, canales y controles existentes para construir la evaluación de riesgos.
- Definir un modelo simple y consistente para clasificar clientes en riesgo bajo, medio y alto.
- Diseñar el perfil transaccional y las alertas que permitan detectar desviaciones.
- Actualizar el Manual de Políticas Internas para que describa procesos reales, responsables y evidencia.
- Evaluar si las herramientas actuales permiten consolidar operaciones, acumular montos, conservar históricos y generar alertas.
- Preparar el programa de capacitación 2027 y el esquema de auditoría que comenzará en 2028.
Conclusión
La reforma marca un cambio de fondo: cumplir ya no significa únicamente presentar avisos a tiempo. Significa poder explicar, con documentos y evidencia, cuáles son los riesgos de la operación, cómo se clasifican los clientes, qué alertas se generan y qué decisiones se toman para reducir esos riesgos.
Para las empresas, el reto será convertir la regulación en procesos cotidianos y comprobables. Para quienes se preparen con anticipación, también puede ser una oportunidad para ordenar expedientes, mejorar controles y tomar decisiones con información más clara.
En Vandenzza podemos acompañar la revisión del grado de exposición de tu empresa, el diagnóstico de obligaciones y la organización documental necesaria para implementar este nuevo enfoque.
Fuente y alcance
Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026: https://dof.gob.mx/nota_detalle.php?codigo=5795797&fecha=07/08/2026