Nuevas reglas antilavado: plan de cumplimiento 2027
Las nuevas reglas antilavado fijan un calendario de controles para 2027. Explicamos qué revisar si su empresa realiza una Actividad Vulnerable.
Una empresa puede tener avisos al día y, aun así, necesitar rediseñar su proceso de cumplimiento. El 7 de agosto de 2026, la Secretaría de Hacienda publicó nuevas reglas para quienes realizan Actividades Vulnerables. El cambio no consiste solo en presentar información: exige evaluar riesgos, conocer mejor al cliente, documentar decisiones y contar con mecanismos de seguimiento.
No es una obligación nueva para cualquier empresa. El alcance depende de que la actividad esté dentro de los supuestos del artículo 17 de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, conocidos como Actividades Vulnerables. Quienes estén alcanzados deben revisar su modelo con tiempo, porque varias exigencias operarán durante 2027.
Qué cambió con las nuevas reglas antilavado
El Acuerdo 115/2026 publicado en el DOF reforma las reglas de carácter general de la LFPIORPI. Incorpora capítulos específicos sobre enfoque basado en riesgos, clasificación de clientes, conocimiento del cliente, personas políticamente expuestas, beneficiario controlador, manuales internos, capacitación, mecanismos automatizados y auditoría.
Cada sujeto obligado debe diseñar una metodología que considere sus operaciones, clientes, transacciones y canales de distribución. Debe identificar, analizar, medir y mitigar riesgos, e incorporarse al Manual de Políticas Internas u otro documento que demuestre el proceso.
Calendario que conviene trabajar desde ahora
El acuerdo entra en vigor de manera general el 30 de noviembre de 2026. Sin embargo, sus transitorios escalonan obligaciones relevantes:
- Desde el 1 de marzo de 2027, la evaluación con enfoque basado en riesgos y el Manual de Políticas Internas actualizado deberán estar disponibles ante requerimiento de la autoridad.
- Desde esa misma fecha, las operaciones deben observar las reglas de clasificación de clientes, conocimiento del cliente y beneficiario controlador.
- Los mecanismos automatizados deben estar disponibles, a más tardar, el 1 de junio de 2027.
- El primer periodo anual de auditoría será del 1 de enero al 31 de diciembre de 2028.
Para que una clasificación de riesgo funcione, se necesitan datos confiables de clientes, operaciones, responsables y expedientes.
Clientes, beneficiario controlador y monitoreo
Las reglas exigen un modelo para clasificar clientes o usuarios, al menos, como de riesgo bajo, medio o alto. También prevén revisiones periódicas: en principio, la evaluación debe hacerse al menos cada seis meses y con mayor frecuencia cuando el nivel de riesgo lo amerite.
La empresa debe integrar la información disponible del beneficiario controlador y revisar inconsistencias cuando existan indicios de que una persona actúa por cuenta de otra.
Además, los mecanismos automatizados deben conservar y actualizar expedientes, consolidar operaciones por cliente, detectar desviaciones frente al perfil transaccional, ejecutar la clasificación de riesgo y generar alertas. El acuerdo admite sistemas informáticos, hojas de cálculo, bases de datos u otros medios equivalentes, siempre que las funciones sean adecuadas al volumen y riesgo de la operación y puedan verificarse ante la autoridad.
Auditoría: una obligación que debe planearse
Cada año se deberá evaluar la efectividad del cumplimiento mediante auditoría interna o externa. Para riesgo bajo o medio, el dictamen puede ser emitido por un área independiente de la persona encargada de cumplimiento.
Cuando el riesgo sea alto, o si la empresa lo decide, la revisión y el dictamen deben ser realizados por una persona auditora externa independiente, con experiencia, certificación vigente de la UIF y sin conflicto de interés.
Una lista de trabajo para la dirección
- Confirmar si la empresa realiza una Actividad Vulnerable y cuáles son sus operaciones alcanzadas.
- Mapear clientes, canales, operaciones, efectivo, metales y responsables de cada proceso.
- Depurar expedientes e identificar la información disponible del beneficiario controlador.
- Diseñar la metodología de riesgo y actualizar el Manual de Políticas Internas.
- Definir cómo se consolidarán operaciones, alertas y evidencia antes de junio de 2027.
- Preparar capacitación, selección de personal y una ruta de auditoría para 2028.
La LFPIORPI y sus reformas vigentes determinan los supuestos de Actividades Vulnerables; por eso, el primer paso es revisar el caso concreto antes de adoptar controles diseñados para otro sector.
Preguntas frecuentes
¿Las nuevas reglas aplican a cualquier persona moral?
No. Aplican a quienes realizan Actividades Vulnerables previstas en la ley. Una empresa debe confirmar su actividad, operaciones y umbrales antes de asumir que está obligada.
¿Se necesita comprar un software especializado?
No necesariamente. Las reglas permiten sistemas, hojas de cálculo, bases de datos u otros medios equivalentes. Lo determinante es que cumplan las funciones exigidas y sean razonablemente adecuados y verificables.
¿La auditoría externa será obligatoria para todos?
No en todos los casos. La regla permite auditoría interna para riesgo bajo o medio, si cumple los requisitos. Para riesgo alto, el dictamen debe ser de una persona auditora externa independiente.
Si su empresa requiere confirmar su alcance o diseñar una ruta de implementación, puede solicitar una revisión inicial y conocer nuestros servicios de consultoría corporativa.
Este artículo fue preparado con información oficial disponible al 8 de agosto de 2026. Tiene fines informativos y no sustituye el análisis de las operaciones, el sector y las obligaciones aplicables a cada empresa.