Hacia un régimen antilavado maduro: las reformas de 2026 a las Reglas de carácter general de la LFPIORPI

Daniel Olvera

Doctor en Derecho, Coordinador de Tecnología Financiera en la Procuraduría Fiscal
de la Federación.

I. Un cambio de generación normativa

Las Reglas de carácter general a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) fueron publicadas el 23 de agosto de 2013 y solo habían sido objeto de ajustes puntuales en 2014 y 2020. El Acuerdo 115/2026, expedido por el Secretario de Hacienda y Crédito Público con fundamento en los artículos 31, fracción XXXIV de la Ley Orgánica de la Administración Pública Federal, 6, fracción VII de la LFPIORPI y 6, fracción XXXIV del Reglamento Interior de la SHCP, no es una reforma más: reordena la arquitectura completa del régimen aplicable a quienes realizan Actividades Vulnerables, incorpora catorce nuevos capítulos y anexos, y desplaza el eje del sistema desde el cumplimiento formal hacia la administración efectiva del riesgo.

El resultado es un cuerpo normativo que, por primera vez, dialoga de manera clara con los estándares del Grupo de Acción Financiera Internacional (GAFI) en el segmento de Actividades y Profesiones No Financieras Designadas —históricamente el eslabón más débil del sistema mexicano— y que lo hace, además, con una técnica de gradualidad y proporcionalidad que merece reconocerse.

II. El enfoque basado en riesgos como principio rector

El nuevo Capítulo II Quáter (artículos 10 Septies a 10 Septies 6) constituye el corazón de la reforma. Quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología propia de evaluación de riesgos que abarque sus operaciones, sus Clientes o Usuarias, sus transacciones y sus canales de distribución, identificando elementos e indicadores —actos u operaciones, tipo de cliente, países y áreas geográficas, canales—, asignándoles valores de forma consistente y ponderando el efecto de los Mitigantes ya implementados.

Tres aciertos destacan. Primero, la metodología debe considerar la Evaluación Nacional de Riesgos emitida por la UIF, ahora definida expresamente en el artículo 3, fracción VIII Bis, lo que cierra el circuito entre el diagnóstico estatal y la gestión privada del riesgo. Segundo, se exige incorporar indicadores específicos vinculados a los artículos 139 Quáter y 400 Bis del Código Penal Federal, obligando a distinguir el riesgo de financiamiento al terrorismo del de lavado de activos. Tercero, y quizá lo más relevante desde la perspectiva de la autoridad, el artículo 10 Septies 6 establece que la propia Secretaría privilegiará un enfoque basado en riesgo en el ejercicio de sus facultades: la proporcionalidad no se predica únicamente del particular, sino también del supervisor.

La evaluación debe revisarse al menos cada doce meses o cuando se detecten nuevos riesgos, y la documentación conservarse diez años. El SAT puede señalar ajustes y solicitar planes de acción reforzados, con lo que se sustituye el modelo binario de cumple/no cumple por un esquema de mejora continua supervisada.

III. Debida diligencia diferenciada

Los Capítulos III Bis y III Ter traducen el enfoque de riesgo al plano de la relación con el cliente. Se obliga a contar con un modelo de clasificación con al menos tres grados de riesgo —bajo, medio y alto—, coherente con la metodología general, revisable cuando menos semestralmente y con mayor frecuencia conforme aumenta el grado asignado. Los factores a considerar se agrupan en características inherentes (antecedentes, giro, nacionalidad, residencia, fuentes de ingreso, propósito de la relación) y transaccionales (tipo, volumen, frecuencia, contrapartes, origen y destino de recursos).

La consecuencia práctica es un régimen de intensidad variable: medidas simplificadas para el bajo riesgo (artículo 17), expediente completo para el riesgo medio (nuevo artículo 17 Bis) y diligencia reforzada para el alto riesgo (artículos 23 Ter 3 y 23 Ter 4), que incluye cuestionarios sobre origen y destino de recursos —admisibles por medios electrónicos con Firma Electrónica—, información sobre cónyuge, dependientes económicos y vínculos patrimoniales, y verificación en los registros de la Secretaría de Economía tratándose de personas morales. Para Personas Políticamente Expuestas extranjeras clasificadas como de alto riesgo se exige aprobación directiva previa, con una solución sensata para el sujeto obligado persona física: una constancia motivada que documente la decisión.

Se incorpora asimismo la figura del Perfil transaccional (artículo 3, fracción XI Sexties) y la obligación de contar con un sistema de alertas capaz de detectar desviaciones respecto de ese perfil. Es la piedra angular del monitoreo y, hasta ahora, la gran ausente del régimen de Actividades Vulnerables.

IV. Beneficiario controlador y transparencia de estructuras jurídicas

El Capítulo III Quinquies ordena por fin una materia que se aplicaba de manera dispersa. Se fija un orden de prelación para identificar al beneficiario controlador de personas morales: participación directa o indirecta del 25% o más; control por otros medios vinculados a la estrategia y dirección; y, en última instancia, el funcionario de mayor jerarquía. Para fideicomisos, el artículo 23 Quinquies 1 adopta un criterio funcional amplio —fiduciarios, fideicomitentes, fideicomisarios, protectores, miembros del comité técnico— y exige ascender en la cadena de titularidad hasta la persona física que ejerce el control efectivo.

Complementariamente, el nuevo Capítulo II Ter y los Anexos 2 Bis y 2 Ter crean un régimen de alta y registro para quienes actúan a través de fideicomisos u otras figuras jurídicas, incluida la asociación en participación, en la que el asociante asume la responsabilidad del trámite. La captura estructurada de datos de fiduciarios, fideicomitentes y fideicomisarios mediante archivo XML es un avance sustantivo en materia de transparencia, alineado con las Recomendaciones 24 y 25 del GAFI. Con buen criterio, se exceptúa de recabar datos del beneficiario controlador cuando el cliente cotiza en bolsa o es un ente público de los previstos en los anexos respectivos.

V. Activos virtuales: trazabilidad operativa

Los artículos 24 Bis 2 a 24 Bis 5 dotan de contenido operativo a la fracción XVI del artículo 17 de la Ley. Se precisa la información mínima del originante y del receptor —nombre, jurisdicción de residencia e identificador de cuenta, dirección o wallet— y de cada operación —fecha y hora, tipo de activo, monto en activo virtual y su equivalente en moneda nacional, tipo de operación y comisión—, con conservación por diez años. Se definen la custodia y la facilitación o intermediación, se aclara que cada proveedor responde frente a sus propios Clientes o Usuarias, y se resuelve con claridad la concurrencia de umbrales: aviso por el inciso a) cuando la operación alcanza 210 UMA, por el inciso b) cuando la contraprestación alcanza 4 UMA, y un solo aviso cuando ambos supuestos se actualizan.

VI. Aviso por sospecha y gobernanza interna

Los artículos 26 Bis y 26 Bis 1 institucionalizan el aviso por sospecha y por hechos o indicios dentro de las 24 horas, y el artículo 26 Bis 2 permite —acertadamente— presentarlo aun cuando la operación no alcance el umbral o ni siquiera se haya celebrado. Es la aproximación más cercana a un verdadero reporte de operación sospechosa en este segmento.

En materia de gobernanza, el Capítulo X eleva el Manual de Políticas Internas a documento nuclear, con un contenido mínimo de catorce apartados que va de los criterios de identificación a los mecanismos de control interno y auditoría; el Capítulo XII profesionaliza la capacitación (cursos anuales, capacitadores con al menos cinco años de experiencia acreditada, evaluación de conocimientos y evidencia documental por diez años) y establece procedimientos de selección de personal; y el Capítulo XIII fija las funciones mínimas de los mecanismos automatizados.

Especial mención merece el Capítulo XIV, que introduce una auditoría anual de cumplimiento con dictamen entregable a más tardar el último día hábil de marzo. La solución es proporcional: auditoría interna cuando el riesgo es bajo o medio, y auditor externo independiente —con certificación vigente de la UIF y reglas estrictas de independencia— cuando es alto o así lo elija el sujeto obligado. La escala de cinco resultados de evaluación, la exigencia de dar seguimiento a los hallazgos del ejercicio anterior, la proyección económica de las multas potenciales y la posibilidad de subsanación espontánea convierten al dictamen en un instrumento de prevención real, no en un trámite.

VII. Seguridad jurídica y proporcionalidad

Varios ajustes de menor visibilidad tienen alto impacto práctico. El sistema de notificaciones electrónicas (artículos 5 Bis y 6) fija plazos ciertos —tres días hábiles para abrir los documentos, notificación perfeccionada al cuarto— y prevé el supuesto de imposibilidad imputable a la autoridad. Los artículos 36 Bis a 36 Bis 2 precisan días y horas hábiles, presentación de promociones y formalidades de notificación con apoyo en la Ley Federal de Procedimiento Administrativo. El artículo 8 Bis permite la baja del padrón a solicitud de tercero interesado, resolviendo un problema recurrente en casos de fallecimiento o imposibilidad material. Y el artículo 3, fracción XI Ter reconoce expresamente que los mecanismos automatizados pueden apoyarse en hojas de cálculo o bases de datos equivalentes, evitando imponer cargas tecnológicas desproporcionadas a los sujetos obligados de menor escala. En la misma lógica, el artículo 38 Bis ordena aplicar a las organizaciones sin fines de lucro medidas proporcionales y basadas en riesgo, en línea con la Recomendación 8 del GAFI.

VIII. Gradualidad: el mérito del régimen transitorio

El Acuerdo entra en vigor el 30 de noviembre de 2026, pero su verdadero acierto está en el escalonamiento: la metodología de riesgos y el Manual actualizado se exigen a partir del 1 de marzo de 2027, misma fecha para los Capítulos III Bis, III Ter y III Quinquies; los mecanismos automatizados, al 1 de junio de 2027; el primer periodo de capacitación abarca el año 2027; y la primera auditoría corresponde al ejercicio 2028. La consulta PEP 2.0 y la implementación tecnológica de notificaciones cuentan con nueve y ocho meses, respectivamente.

Esta secuencia reconoce que la maduración del cumplimiento es un proceso y no un acto, y otorga a los sujetos obligados un horizonte cierto de planeación. Es, en suma, una reforma exigente pero razonable, técnicamente sólida y consistente con los compromisos internacionales del Estado mexicano, que fortalece la integridad del sistema financiero y la protección de la Hacienda Pública Federal sin sacrificar la seguridad jurídica de los particulares.