Lo que trae el Acuerdo 115/2026 y las fechas que tu empresa no puede perder de vista

 

El cambio más profundo desde 2013

El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, mediante el cual la Secretaría de Hacienda y Crédito Público modificó de fondo las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). No exagero al decirte que es la reforma más profunda al régimen de Prevención de Lavado de Dinero (PLD) desde que la propia ley entró en vigor en 2013.

Hasta ahora, si tu empresa realiza una Actividad Vulnerable —desde la compraventa de inmuebles hasta la prestación de servicios profesionales que involucran ciertas operaciones—, cumplir con la LFPIORPI significaba, en buena medida, identificar a tus clientes, guardar sus documentos y presentar avisos cuando se rebasaban ciertos montos. Ese modelo de “listas y umbrales” queda atrás. El Acuerdo 115/2026 obliga a transitar hacia un Enfoque Basado en Riesgos (EBR), alineado con los estándares del GAFI (Grupo de Acción Financiera Internacional), en el que ya no basta con reportar: hay que documentar, medir y someter a verificación independiente la forma en que identificas y mitigas el riesgo de que tu negocio sea usado para lavar dinero.

Es por esto que, para la mayoría de los sujetos obligados, esta reforma no implica ajustar el expediente de cumplimiento que ya tienen, sino elaborarlo nuevamente desde su metodología.

¿Qué es el Enfoque Basado en Riesgos y por qué ya no basta con “listas y umbrales”?

El nuevo Capítulo II Quáter de las Reglas (artículos 10 Septies a 10 Septies 6) exige que cada sujeto obligado diseñe e implemente su propia metodología para identificar, medir y mitigar los riesgos de lavado de dinero y financiamiento al terrorismo en su operación. Y aquí está el detalle que muchos despachos y empresas van a subestimar: el artículo 10 Septies 1, fracción II, exige que esa metodología asigne valores consistentes a cada indicador de riesgo en función de su importancia técnica. No es un ejercicio narrativo ni un formato para llenar una vez al año; es un modelo que debe poder aplicarse, actualizarse y defenderse ante un auditor.

La metodología debe considerar, como mínimo, cuatro elementos (artículo 10 Septies 1, fracción I):

1. Actos u operaciones: la naturaleza y el volumen de las actividades que realiza tu empresa.
2. Tipo de personas Clientes o Usuarias: el perfil y las características de tu contraparte.
3. Países y áreas geográficas: las jurisdicciones involucradas y el origen o destino de los recursos.
4. Transacciones y canales de envío: los medios tecnológicos o físicos por los que se distribuyen los recursos.

En tu Manual de Políticas Internas, esto se traduce en dos columnas que deben quedar claramente separadas: por un lado, los indicadores de riesgo (volumen y frecuencia de operaciones, jurisdicciones de régimen fiscal preferente, inconsistencias frente al Perfil Transaccional esperado, uso de efectivo o activos virtuales por encima de tus umbrales internos); por otro, los mitigantes, es decir, las políticas y procedimientos que administran y disminuyen esa exposición (debida diligencia reforzada conforme al artículo 23 Ter 3, monitoreo automatizado de alertas, procedimientos de limitación o terminación de la relación comercial, y la propia auditoría anual).

¿Cómo debo clasificar a mis clientes ahora?

El Grado de Riesgo que arroje tu metodología —Bajo, Medio o Alto— deja de ser un dato de referencia y se convierte en el criterio que determina qué tan profundo debe ser el expediente que le abres a cada cliente. Es importante aclarar algo que muchas empresas interpretan mal: las medidas simplificadas de identificación no son la regla general, son un privilegio que solo procede cuando tu propio modelo de riesgo clasifica a ese cliente como de riesgo Bajo (artículo 17).

 

Para clientes de riesgo Alto y para Personas Políticamente Expuestas (PEP), las Reglas van más allá de pedir una identificación oficial. Exigen aplicar cuestionarios sobre el origen y destino de los recursos, firmados con firma electrónica (artículo 23 Ter 3); obtener información sobre vínculos patrimoniales del cliente, incluyendo a su cónyuge, dependientes económicos y sociedades vinculadas (artículo 23 Ter 4); y, si se trata de una PEP de riesgo alto, contar con la aprobación expresa de un directivo antes de operar con esa persona (artículo 23 Ter 5).

¿Quién es el Beneficiario Controlador de mi empresa y cómo lo identifico?

Aquí conviene un ejemplo. Imagina a Constructora Altamira, S.A. de C.V., cliente de un despacho contable, cuyo capital social está distribuido entre cuatro personas físicas y un fideicomiso familiar. Cuando el oficial de cumplimiento de su proveedor de servicios necesita identificar al Beneficiario Controlador, no puede simplemente pedir el acta constitutiva y quedarse ahí. El artículo 23 Quinquies establece un orden de prelación que debe seguirse en estricto orden, pasando al siguiente criterio solo si el anterior no arroja resultado:

1. Propiedad del 25%: la persona física que, directa o indirectamente, posea el 25% o más del capital social o de la composición accionaria.
2. Control efectivo: si nadie alcanza ese porcentaje, la persona física que ejerza el control por otros medios —definición de estrategia, toma de decisiones, dirección de políticas—.
3. Alta dirección: solo si los dos criterios anteriores no arrojan resultado, se identifica a quien ocupe la posición de funcionario administrativo de mayor grado.

Si el fideicomiso familiar es quien posee más del 25% del capital, la obligación no termina ahí: hay que ascender en la cadena de titularidad y control hasta identificar a la persona física que, en última instancia, ejerce el control efectivo sobre los bienes fideicomitidos (artículo 23 Quinquies 1). Además, debe recabarse una constancia firmada —de forma autógrafa o con e.firma— en la que el propio cliente declare, bajo protesta de decir verdad, si tiene conocimiento de la existencia de un Beneficiario Controlador (Anexo 3). Quedan exceptuadas de esta obligación las entidades públicas y las empresas que cotizan en bolsa, siempre que proporcionen su clave de pizarra.

¿Qué debe contener mi Manual de Políticas Internas?

El artículo 37 Bis establece catorce contenidos mínimos que el Manual debe incorporar de manera obligatoria. Entre los más relevantes para tu operación diaria están los criterios de identificación y conocimiento de clientes; los mecanismos de clasificación de riesgo; las medidas de debida diligencia según el Grado de Riesgo; los procedimientos de seguimiento reforzado a PEP; los mecanismos para detectar operaciones que se aparten del Perfil Transaccional esperado; los procedimientos para la presentación de avisos e informes; el seguimiento y acumulación de actos para efectos de los umbrales de aviso; los mecanismos para identificar personas en listas oficiales, nacionales e internacionales; las funciones y responsabilidades del Representante de Cumplimiento; los programas de capacitación; los mecanismos de control interno, supervisión y auditoría; y, de manera relevante, el procedimiento para la actualización del propio Manual.

Importante: el Manual dejó de ser un documento estático. Las Reglas exigen que contemple su propio mecanismo de actualización, lo que en la práctica significa que debe revisarse cuando cambie tu operación, tu perfil de clientes o el marco normativo aplicable.

¿Desde cuándo es obligatoria la auditoría anual y quién puede practicarla?

El nuevo Capítulo XIV introduce la auditoría anual obligatoria, que evalúa la efectividad del cumplimiento del periodo comprendido entre el 1 de enero y el 31 de diciembre. La regla de independencia es más estricta de lo que muchas empresas anticipan:

• Si tu Grado de Riesgo es Bajo o Medio, la auditoría puede ser interna, pero el personal que la realice debe ser independiente del Representante de Cumplimiento (artículo 44).
• Si tu Grado de Riesgo es Alto, la auditoría debe ser externa e independiente, practicada por un auditor certificado por la Unidad de Inteligencia Financiera (UIF).
• El auditor no debe haber prestado servicios que generen conflicto de interés durante el periodo auditado, ni haber fungido como Representante de Cumplimiento durante ese periodo ni en los dos años posteriores (artículo 45, fracciones d y e).

El dictamen resultante debe clasificarse en alguna de cinco categorías (artículo 48): Cumple (eficacia demostrada, sin recomendaciones), Cumple mayoritariamente (eficacia no demostrada en su totalidad; requiere al menos una recomendación de mejora), Cumple parcialmente (falta de evidencia objetiva; incluye hallazgos y recomendaciones), No cumple (incumplimiento de elementos necesarios o actualización de una sanción previa) y No aplica (obligación no exigible conforme al perfil del sujeto obligado).

¿Qué pasa si opero con activos virtuales (criptomonedas)?

El nuevo Capítulo II Bis incorpora, para quienes prestan servicios relacionados con activos virtuales, la llamada “Regla de Viaje” (Travel Rule), que busca garantizar la trazabilidad de cada operación (artículo 24 Bis 2). Debe conservarse, por cada operación, el nombre completo y país de residencia de ambos participantes, el identificador de cuenta, monedero o dirección digital de origen y destino, la fecha y hora, el tipo de activo, el monto —tanto en la criptomoneda correspondiente como en su equivalente en moneda nacional— y la comisión cobrada.

Conforme al artículo 24 Bis 5, la reforma fija umbrales específicos en Unidades de Medida y Actualización (UMA): debe presentarse aviso cuando una operación alcance o supere 210 UMA (aproximadamente $24,635 pesos al valor de la UMA 2026) y, de manera independiente, cuando la contraprestación o comisión cobrada alcance o supere 4 UMA (aproximadamente $469 pesos), sin que ambos umbrales sean acumulables entre sí.

Te recomendamos verificar estas cifras directamente contra el texto del Acuerdo publicado en el DOF antes de ajustar tus sistemas de monitoreo, dado que se trata de las variables que con mayor frecuencia se actualizan.

El calendario que no debes perder de vista

La reforma no entra en vigor de golpe; los artículos transitorios del Acuerdo 115/2026 escalonan las obligaciones a lo largo de casi tres años:

 

Ocho meses entre la publicación y la primera obligación exigible parecen mucho tiempo, pero diseñar una metodología de riesgos defendible, reescribir un Manual de catorce contenidos mínimos y, en su caso, contratar o certificar a un auditor no son tareas que se resuelvan en unas cuantas semanas.

En pocas palabras

El Acuerdo 115/2026 transita el régimen PLD mexicano de un modelo sustentado en listas y umbrales hacia uno de gestión de riesgo, en el que hay que documentar, medir y someterse a verificación independiente. La obligación central ya no es reportar operaciones que rebasan un monto: es demostrar, con una metodología propia y auditable, que tu empresa sabe identificar y mitigar el riesgo de que sus operaciones se usen para lavar dinero.

Los 3 puntos más importantes a recordar:

1. Necesitas una metodología de Enfoque Basado en Riesgos propia, con valores asignados a cada indicador, lista a más tardar el 1 de marzo de 2027.
2. La identificación del Beneficiario Controlador sigue un orden de prelación obligatorio (25% de propiedad → control efectivo → alta dirección) y debe documentarse con la constancia firmada del Anexo 3.
3. Si tu Grado de Riesgo es Alto, deberás contratar auditoría externa con un auditor certificado por la UIF; el primer dictamen se entrega en marzo de 2029, pero la metodología que lo hace posible debe estar lista dos años antes.

 

Esta es una reforma que conviene empezar a trabajar ahora, no en 2027. En Chávez Domínguez Consultores podemos ayudarte a diagnosticar tu expediente actual, diseñar tu metodología de riesgos y preparar tu Manual de Políticas Internas conforme al nuevo estándar. Si tu empresa realiza alguna Actividad Vulnerable, contáctanos para agendar una revisión de tu situación particular.

Este boletín tiene fines informativos y no sustituye una consulta personalizada sobre el caso específico de tu empresa.