Nuevas reglas de carácter general de la ley antilavado en México

Se publicó en el Diario Oficial de la Federación, el 7 de agosto de 2026, el acuerdo mediante el cual se reforman y adicionan diversas disposiciones de las reglas de carácter general a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) en México.

Las modificaciones fortalecen sustancialmente el marco de prevención de lavado de dinero y financiamiento al terrorismo, incorporando un enfoque basado en riesgos, requisitos reforzados de conocimiento del cliente y del beneficiario controlador, así como nuevas obligaciones para proveedores de servicios de activos virtuales.

Panorama general

El acuerdo modifica las reglas de carácter general de la LFPIORPI, publicadas originalmente en 2013 y reformadas en 2014 y 2020, con el propósito de actualizar el marco operativo aplicable a quienes realizan las denominadas "actividades vulnerables" en materia de prevención e identificación de operaciones con recursos de procedencia ilícita.

En términos generales, las reglas mantienen como eje la obligación de establecer medidas y procedimientos mínimos para prevenir y detectar actos u operaciones que involucren recursos de procedencia ilícita, así como regular la presentación de avisos e informes ante la Unidad de Inteligencia Financiera (UIF) por conducto del Servicio de Administración Tributaria (SAT). El cambio es amplio, pues reforma múltiples artículos, adiciona capítulos completos y nuevos anexos, y deroga disposiciones específicas dentro de las reglas vigentes.

Contexto y alcance de las reformas

Las reformas refuerzan el régimen de cumplimiento para quienes realizan actividades vulnerables, con un enfoque más formal, documentado y basado en riesgos. En términos prácticos, las empresas deberán contar con mejores políticas internas, procesos claros de identificación de clientes, herramientas de monitoreo y evidencia suficiente para demostrar cumplimiento.

Principales cambios

Enfoque basado en riesgos

Las empresas deberán implementar una metodología para identificar, medir y mitigar riesgos de lavado de dinero y financiamiento al terrorismo. Esta metodología deberá considerar varios factores, entre los cuales se destacan los siguientes:

• el tipo de actos u operaciones que realizan
• el perfil de sus clientes o usuarios
• los países o zonas geográficas involucrados
• los canales de envío, distribución o prestación del servicio
• las transacciones realizadas
• la Evaluación Nacional de Riesgos y sus actualizaciones

Esta metodología deberá incluirse en el Manual de Políticas Internas y aplicarse de forma práctica a cada operación y tipo de cliente.

Mayor control sobre clientes y usuarios

Las reformas fortalecen las obligaciones de identificación, conocimiento y monitoreo de clientes. Entre otras medidas, las empresas deberán:

• integrar expedientes únicos de identificación
• verificar y actualizar la información de los clientes
• clasificar a cada cliente en niveles de riesgo bajo, medio o alto
• revisar el grado de riesgo al menos cada seis meses
• definir el perfil transaccional de cada cliente
• detectar operaciones inusuales o desviaciones mediante alertas
• aplicar medidas reforzadas a clientes de alto riesgo, incluyendo personas políticamente expuestas (PEP) extranjeras y ciertos clientes no residentes vinculados con jurisdicciones de riesgo

Identificación del beneficiario controlador

Las reglas precisan cómo debe identificarse al beneficiario controlador. Para ello, se establece un orden de análisis para determinar qué persona física o grupo de personas físicas cumple con los siguientes criterios:

• tiene la titularidad o control de la entidad
• ejerce control por otros medios
• ocupa una posición de alta dirección, cuando no pueda identificarse a alguien bajo los criterios anteriores

Además, las empresas deberán documentar el procedimiento seguido y conservar la evidencia correspondiente.

Nuevas obligaciones operativas y tecnológicas

Las reformas también formalizan obligaciones relacionadas con procesos internos y tecnología. En particular, las empresas deberán contar con mecanismos para llevar a cabo lo siguiente:

• recibir y consultar notificaciones electrónicas a través del portal en internet
• conservar expedientes
• consolidar operaciones
• ejecutar modelos de riesgo
• generar alertas
• monitorear operaciones relevantes

Cambios en avisos e informes

El acuerdo detalla con mayor precisión cuándo se considera realizado un acto o una operación para efectos de presentar avisos, dependiendo del tipo de actividad vulnerable. También regula supuestos relacionados con activos virtuales, custodia, intermediación, contraprestaciones y trazabilidad de operaciones, entre otras. Además, se incorporan avisos por sospecha o por hechos e indicios, que deberán presentarse dentro de las 24 horas siguientes a que la empresa los reconozca o tenga conocimiento de ellos.

Capacitación, conservación y auditoría

Finalmente, las reformas incorporan obligaciones adicionales para fortalecer la cultura de cumplimiento, incluyendo la capacitación anual, la conservación de evidencia durante 10 años, los procedimientos de selección de personal y las auditorías periódicas para evaluar la efectividad del programa de cumplimiento.

Modificaciones clave

Entre los cambios más relevantes se destacan los siguientes:

• Enfoque basado en riesgos (capítulo II quáter). Se introduce la obligación de diseñar e implementar una metodología de evaluación de riesgos que cubra actos u operaciones, clientes, transacciones y canales, considerando al menos 12 meses de información histórica o datos proyectados.
• Clasificación de clientes y debida diligencia reforzada (capítulos III bis y III ter). Se establece un modelo de clasificación con al menos tres niveles (bajo, medio y alto), que incluye una evaluación semestral, un monitoreo reforzado y cuestionarios adicionales para clientes de alto riesgo, PEP extranjeras y no residentes vinculados con jurisdicciones de riesgo.
• Beneficiario controlador (capítulo III quinquies). Se exige la identificación de personas físicas con 25 por ciento o más de participación o control efectivo en personas morales y fideicomisos, así como la documentación y actualización de estos datos durante toda la relación de negocios.
• Activos virtuales. Se incorporan obligaciones específicas para proveedores de servicios de activos virtuales, incluidas la trazabilidad de las actividades, la información del originante y del receptor, el tipo de activo, el monto equivalente en moneda nacional y la conservación de datos durante 10 años.
• Avisos por sospecha. Se establece un plazo de 24 horas para presentar avisos por sospecha o hechos e indicios ante la UIF a través del SAT.
• Manual de Políticas Internas. Se debe elaborar dentro de 90 días naturales siguientes al alta, incluyendo un contenido mínimo ampliado que abarque la metodología de riesgos, las PEP, el perfil transaccional y los controles internos.
• Capacitación, auditoría y mecanismos automatizados. Se establece la obligación de una capacitación anual, una auditoría anual (externa independiente si el riesgo es alto) y la implementación de mecanismos automatizados proporcionales al volumen y complejidad.
• Notificaciones electrónicas. Se debe realizar una consulta diaria del portal, y las notificaciones se tendrán por realizadas al cuarto día hábil.

Fechas relevantes

Consideraciones finales

Desde una perspectiva de implementación, las entidades y personas sujetas a estas reglas deberán considerar este acuerdo como una reforma integral de su programa de cumplimiento en materia de LFPIORPI y no únicamente como una actualización documental.

La entrada en vigor general será el 30 de noviembre de 2026, pero los transitorios establecen plazos diferenciados para obligaciones críticas, incluyendo la disponibilidad de la evaluación basada en riesgo, la actualización del Manual de Políticas Internas, la observancia de los capítulos sobre la clasificación de riesgo, el conocimiento del cliente y del beneficiario controlador, y la implementación de mecanismos automatizados.

Por ello, es recomendable elaborar de inmediato una matriz de brechas frente a las nuevas reglas, priorizando la metodología de riesgos, ajustes al Manual de Políticas Internas, los expedientes de identificación, el modelo de clasificación de clientes, la identificación de beneficiarios controladores, las alertas transaccionales, los procedimientos de avisos por sospecha, la capacitación y la preparación para la auditoría.

También resulta aconsejable empezar a trabajar, con acompañamiento legal, en un plan de trabajo por fases, con responsables internos, fechas objetivo y evidencia documental, de modo que el cumplimiento pueda demostrarse ante el SAT o la UIF en caso de requerimiento.

Holland & Knight asesora a las empresas en la implementación práctica de la reforma en materia de prevención de lavado de dinero, incluyendo la actualización de manuales, políticas internas, expedientes, controles y procesos de monitoreo conforme al nuevo enfoque basado en riesgos, con el fin de fortalecer la preparación regulatoria de su organización.

Para mayor información o cualquier duda, favor de contactar a los autores.

La información contenida en esta alerta es para la educación y el conocimiento general de nuestros lectores. No está diseñada para ser, y no debe ser usada como, la única fuente de información cuando se analiza y resuelve un problema legal, y no debe sustituir la asesoría legal, que se basa en un análisis específico de los hechos. Además, las leyes de cada jurisdicción son diferentes y cambian constantemente. Esta información no tiene por objeto crear, y su recepción no constituye, una relación abogado-cliente. Si tiene preguntas específicas sobre una situación de hecho concreta, le instamos a que consulte a los autores de esta publicación, a su representante de Holland & Knight o a otro asesor legal competente.