El reloj ya corre para la Ley Antilavado en México

Hasta ahora, el debate sobre la reforma antilavado en México era sobre principios; desde el 7 de agosto de 2026 es sobre fechas porque se publicó en el DOF el Acuerdo 115/2026 de la SHCP, que reforma las Reglas de Carácter General de la LFPIORPI para quienes realizan "Actividades Vulnerables".

‍

Estas Reglas operativizan la reforma a la LFPIORPI del 16 de julio de 2025 y los cambios a su Reglamento del 27 de marzo de 2026, estableciendo procedimientos y plazos concretos para alrededor de 100,000 sujetos obligados en México.

‍

Aunque la entrada en vigor general es el 30 de noviembre de 2026, los cambios estructurales vencen el 1 de marzo de 2027, dejando solo tres meses para rediseñar la metodología de cumplimiento.

¿Qué cambia?

El giro de fondo del Acuerdo es el abandono del cumplimiento uniforme. Hasta ahora, un sujeto obligado aplicaba esencialmente los mismos controles a todos sus clientes. Las nuevas Reglas incorporan un Capítulo II Quáter completo dedicado al "Enfoque Basado en Riesgos", que obliga a identificar, medir y mitigar el riesgo considerando el tipo de operaciones, el perfil del cliente, la geografía y los canales de distribución.

‍

Eso se traduce en seis obligaciones que conviene mirar de cerca:

1. Clasificación de clientes por grado de riesgo, revisada cada seis meses. 

Cada cliente debe quedar clasificado en un nivel de riesgo, y esa clasificación debe reevaluarse al menos cada seis meses. La propia norma establece que la frecuencia debe ser mayor cuando el grado de riesgo también lo sea. La debida diligencia se gradúa en consecuencia: identificación simplificada en riesgo bajo, expediente completo en riesgo medio, y debida diligencia reforzada en riesgo alto.

‍

2. Beneficiario controlador, con umbral explícito. 

Se incorpora un capítulo específico para identificar a la persona física que está realmente detrás de una persona moral o un fideicomiso, con un umbral de referencia del 25% de participación o control efectivo. Cuando no puede identificarse por titularidad, el criterio escala: quien ejerce control por otros medios y, en última instancia, quien ocupa una posición de alta dirección. En fideicomisos, la obligación es ascender en la cadena hasta llegar a la persona física.

‍

3. Personas Políticamente Expuestas, con alcance ampliado. 

Un nuevo capítulo regula el tratamiento de PEP e incluye expresamente al cónyuge, la concubina o concubinario, parientes hasta el segundo grado y socios en personas morales. El alta de un cliente identificado como PEP requiere la aprobación de un directivo de alto nivel.

‍

4. Avisos por sospecha en 24 horas. 

Además de los avisos mensuales ordinarios, que no cambian y siguen presentándose a más tardar el día 17 del mes siguiente, se incorporan avisos por sospecha y por hechos e indicios, que deben enviarse dentro de las 24 horas siguientes a que la empresa tenga conocimiento de ellos. 

Esta obligación es exigible seis meses después de que se emitan los formatos oficiales, cuya fecha todavía no está determinada.

‍

5. Manual de Políticas Internas ampliado, en 90 días. 

El Manual debe elaborarse dentro de los 90 días naturales siguientes al alta y registro, con un contenido mínimo considerablemente más extenso: metodología de riesgos, tratamiento de PEP, perfil transaccional y controles internos, entre otros apartados.

‍

6. Capacitación, auditoría y evidencia por 10 años.

La capacitación pasa a ser anual y obligatoria. La auditoría también: 

• si el riesgo del sujeto obligado es bajo o medio, puede realizarla un área interna siempre que su personal sea independiente del encargado de cumplimiento y acredite capacitación anual; 
• si el riesgo es alto, se exige un auditor externo independiente con título, cédula profesional, tres años de experiencia y certificación vigente de la UIF. 

El dictamen se entrega a más tardar el último día hábil de marzo. Y toda la información y documentación generada debe conservarse al menos diez años.

‍

A esto se suma un bloque específico para proveedores de servicios de activos virtuales, con obligaciones de trazabilidad, datos del originante y del receptor, tipo de activo, monto equivalente en moneda nacional y conservación de datos por diez años, con umbrales referenciados a 4 y 210 veces el valor diario de la UMA.

‍

Un punto que conviene aclarar porque genera confusión: estas Reglas no añaden nuevas Actividades Vulnerables. El catálogo sigue estando en el artículo 17 de la Ley. Lo que se amplió por esa vía (el desarrollo inmobiliario, por ejemplo) vino con la reforma de julio de 2025, no con este Acuerdo.

El calendario, en una tabla

Leída en conjunto, la tabla dice algo bastante claro: el periodo de noviembre de 2026 a febrero de 2027 es la ventana real de trabajo. Lo que no esté rediseñado en esos tres meses llega tarde al 1 de marzo.

Por qué esto llega ahora (y por qué el margen de error se está estrechando)

Detrás de esta reforma hay señales que conviene tener en cuenta.

México atraviesa la quinta ronda de evaluación del GAFI, organismo del que es miembro desde 2000: la visita in situ fue en marzo de 2026 y el informe se discute en la plenaria de octubre. El Acuerdo 115/2026 es, en buena medida, la respuesta regulatoria a ese examen.

Al mismo tiempo, la actividad de la UIF se disparó. Entre julio de 2025 y julio de 2026 incrementó 126% las personas bloqueadas y 172% las cuentas bloqueadas: 2.395 sujetos se sumaron a la Lista de Personas Bloqueadas, 24.622 cuentas quedaron congeladas y casi un tercio de ellas, el 31.9%, están ligadas a delincuencia organizada.

Y el margen para revertir un bloqueo se estrechó todavía más. El 12 de agosto de 2026, la Suprema Corte resolvió, 8 votos contra 1, que los jueces ya no pueden conceder suspensiones para desbloquear cuentas de la UIF mientras se litiga el fondo. Quedan excepciones acotadas (salarios, alimentos, subsistencia básica, créditos fiscales, hipoteca de vivienda principal, recursos acreditados como lícitos), pero el amparo dejó de ser una vía rápida para recuperar liquidez.

Súmalo todo: supervisión más intensa, multas de hasta 7.6 millones de pesos y menos margen judicial para revertir un bloqueo. Un control que falla ahora puede costarte una interrupción operativa difícil de deshacer.

‍

Qué significa esto en la práctica

Todo esto converge en una pregunta: ¿puedes demostrar, con evidencia y en cualquier momento, qué revisaste, cuándo y con qué resultado?

Es la pregunta que rompe los procesos manuales. Una reevaluación cada seis meses y un aviso en 24 horas no caben en un flujo que depende de que alguien recuerde abrir una hoja de cálculo, con listas que cambian a diario y clientes que pueden dejar de estar limpios de un semestre a otro.

El beneficiario controlador deja de ser un anexo y se vuelve dato estructural: si no puedes reconstruir la cadena hasta la persona física, el hueco queda visible, y desde 2028 quien lo revise puede ser un auditor externo certificado por la UIF.

Y la evidencia se vuelve el entregable. Con diez años de conservación y auditoría anual, la autoridad ya no preguntará si tienes controles: pedirá el rastro documental que prueba que funcionaron.

‍

Cómo abordarlo sin reconstruirlo todo a mano

Identificar, clasificar, monitorear y documentar con Excel, correos y PDFs dispersos se degrada rápido cuando el volumen y la frecuencia que exige la norma superan lo que un proceso manual sostiene con consistencia.

En una plataforma de gestión de riesgos de terceros como Zenta, esas tareas se convierten en flujo:

• Screening automático contra listas de sanciones, PEP y medios adversos, actualizado a diario.
• Identificación del beneficiario final (UBO), con la estructura corporativa real de cada contraparte.
• Matriz de riesgo dinámica, que clasifica por actividad, país y antecedentes, y sostiene la reevaluación semestral sin rehacerla a mano.
• Monitoreo continuo, con alerta cuando el estatus de un tercero cambia: el disparador natural de un aviso por sospecha.
• Expediente digital y reportes listos para auditoría, con el histórico de cada búsqueda, hallazgo y decisión.

La meta es llegar a marzo de 2027 con un programa que funcione y que puedas demostrar.

‍

La pregunta para los próximos tres meses

El calendario es público y las fechas no se van a mover por conveniencia. La reforma no pide un programa de cumplimiento más grande: pide uno demostrable.

¿Podrías identificar hoy, en menos de una hora, al beneficiario controlador de cada uno de tus clientes de riesgo alto y mostrar cuándo fue la última vez que se revisó? Si la respuesta no es inmediata, ese es el primer trabajo, y la ventana útil se cierra en febrero de 2027.

‍

Descubre cómo Zenta automatiza la debida diligencia, el screening y el monitoreo continuo

‍