Reforma a la LFPIORPI 2026: el nuevo enfoque basado en riesgos y lo que tu empresa debe tener listo
¿Tu programa antilavado puede demostrar que identifica y gestiona riesgos, o solo que conserva expedientes y presenta avisos? La reforma al Acuerdo 115/2026 cambia el estándar: el cumplimiento ya no consiste únicamente en tener documentos disponibles. Ahora tendrás que explicar cómo evalúas los riesgos, qué medidas aplicas a cada cliente y cómo verificas que tus controles funcionan.
Publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, el Acuerdo modifica las Reglas de Carácter General de la LFPIORPI. Su entrada en vigor general será el 30 de noviembre de 2026, con obligaciones que se activan gradualmente durante 2027 y 2028.
Para los equipos de Compliance, Legal, Riesgos y Finanzas, el reto inmediato es convertir ese calendario en un plan operativo: definir responsables, actualizar políticas, reunir datos confiables y dejar evidencia verificable. La reforma también es relevante para instituciones financieras y fintechs que buscan fortalecer su programa de KYC y AML, aunque deben confirmar qué plazos y reglas les aplican conforme a su régimen sectorial.
Del cumplimiento documental a la gestión del riesgo
Un expediente completo sigue siendo importante, pero ya no basta por sí solo. El nuevo enfoque basado en riesgos (EBR) exige relacionar la información de tus operaciones y clientes con los controles que aplicas.
En la práctica, esto significa poder responder preguntas como:
¿Qué factores hacen que un cliente, proveedor, operación o canal represente más riesgo?
¿Cómo se asigna y revisa su nivel de riesgo?
¿Qué información respalda esa clasificación?
¿Qué medida reforzada aplicas cuando el riesgo aumenta?
¿Cómo detectas cambios en el comportamiento o perfil transaccional?
El nuevo Capítulo II Quáter establece que la metodología considere, al menos, los actos u operaciones, el tipo de cliente, los países y áreas geográficas, y las transacciones y canales de envío o distribución. También debe documentar cómo identificas, analizas, mides y mitigas riesgos. Para la evaluación se contempla información de un periodo mínimo de 12 meses; si aún no tienes historial suficiente, la metodología inicial puede utilizar datos proyectados y actualizarse posteriormente.
La evaluación no debe quedarse estática: tendrás que revisarla cuando surjan nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos o, en todo caso, dentro del plazo máximo previsto por las Reglas. La documentación que sustente estas obligaciones debe conservarse por al menos 10 años.
Cómo clasificar clientes y proveedores con criterios defendibles
La reforma establece que el modelo de clasificación de clientes incluya, como mínimo, tres niveles: bajo, medio y alto. Puedes agregar categorías intermedias, pero la clasificación debe ser coherente con tu metodología y estar descrita en el Manual de Políticas Internas.
La norma no reemplaza tu análisis con una etiqueta aislada. Necesitas documentar los factores que la justifican. Como referencia, el modelo puede combinar:
Características de la persona o empresa: tipo de persona, actividad económica, domicilio, jurisdicción y propósito de la relación comercial.
Estructura societaria y beneficiario controlador: quién posee o controla la entidad, directa o indirectamente, y qué documentos sustentan esa conclusión.
Características de las operaciones: montos, frecuencia, volumen, contrapartes, origen y destino de los recursos, y canales utilizados.
Señales de riesgo externas: coincidencias relevantes en listas de sanciones y registros judiciales, interpretadas conforme a políticas documentadas.
Cambios posteriores: variaciones de actividad, estructura, ubicación o comportamiento transaccional que ameriten revisar el expediente o la clasificación.
Para identificar al beneficiario controlador, no dependas solo de la declaración inicial del cliente. Contrasta la información con documentos corporativos, organigramas y fuentes disponibles. Como control complementario, consulta periódicamente el Registro Público de Comercio para identificar si una persona aparece como socia en una empresa y determinar si esa información puede cambiar tu análisis.
La clasificación debe mantenerse vigente. El modelo de la reforma establece evaluaciones de riesgo del cliente al menos cada seis meses, con mayor frecuencia cuando su nivel de riesgo lo justifique. Para un cliente de riesgo alto, las medidas pueden incluir mayor información sobre su actividad y un monitoreo más estricto; para los casos de riesgo bajo, las medidas simplificadas deben sustentarse en criterios establecidos, no en una decisión informal.
Este enfoque también puede orientar la revisión de proveedores, aunque tendrás que distinguir las obligaciones legales que aplican a tus clientes de los controles internos que adoptes para terceros. En ambos casos, la consistencia importa: si las políticas dicen que un factor es determinante, debe poder observarse en la decisión y en la evidencia conservada.
El Manual y la operación deben contar la misma historia
La metodología de riesgo tiene que conectarse con la política de conocimiento del cliente, la identificación y validación de identidad, el análisis del beneficiario controlador y el monitoreo. Si tu Manual establece una evaluación semestral, por ejemplo, debes poder acreditar cuándo se hizo, qué información se revisó y si cambió el nivel de riesgo.
Una implementación sólida suele integrar:
Identificación y validación: verifica que los datos y documentos correspondan a la persona o entidad evaluada y que el expediente sea legible, trazable y esté actualizado.
Análisis corporativo: documenta la estructura societaria, las personas con control y los pasos seguidos para identificar al beneficiario controlador.
Consultas externas: define qué listas de sanciones, registros judiciales y fuentes públicas se revisan, quién atiende coincidencias y cómo se resuelven.
Monitoreo continuo: detecta operaciones que se apartan del perfil esperado, cambios de riesgo y acumulaciones que deban analizarse.
Evidencia: conserva resultados, fechas, decisiones, alertas y justificaciones con controles de acceso y trazabilidad.
Una alerta no equivale automáticamente a una conclusión de riesgo ni a una decisión de rechazo. Debe iniciar una revisión conforme a criterios definidos, con un resultado documentado y escalable al área responsable.
Calendario: qué cambia y cuándo
El calendario de la reforma distribuye las obligaciones en etapas. Estas son las fechas clave para organizar tu programa:
Fecha | Qué debes considerar |
30 de noviembre de 2026 | Entrada en vigor general del Acuerdo 115/2026. |
1 de marzo de 2027 | Inicio de las obligaciones relativas al EBR, la actualización del Manual, la clasificación de riesgo, el conocimiento del cliente y la identificación del beneficiario controlador para los actos u operaciones aplicables desde esa fecha. |
A más tardar el 1 de junio de 2027 | Disponibilidad de los mecanismos automatizados exigidos; deben incorporar la información de las operaciones realizadas a partir de esa fecha. |
Durante 2027 | Primer periodo anual de capacitación, del 1 de enero al 31 de diciembre. Si planeas impartirla del 1 al 31 de diciembre, asegúrate de dejar tiempo suficiente para evaluación y conservación de evidencia. |
Durante 2028 | Primer periodo de revisión o auditoría anual, del 1 de enero al 31 de diciembre. |
El Acuerdo y sus transitorios son la referencia para confirmar las fechas y el alcance aplicables a cada obligación. Los análisis de EY Law y Von Wobeser también describen el carácter escalonado de la implementación. Si tu empresa pertenece al sector financiero o fintech, no des por sentado que todos los plazos de las Reglas de actividades vulnerables le aplican directamente: valida su alcance con Legal y Compliance.
Checklist: lo que conviene preparar
Antes del 30 de noviembre de 2026
Confirma qué actividades de tu empresa están sujetas a la LFPIORPI y quién es responsable de cada obligación.
Nombra a las personas responsables del proyecto y establece un calendario interno con entregables.
Levanta un inventario de expedientes, políticas, proveedores de datos y sistemas disponibles.
Identifica brechas de información: identidad, estructura societaria, beneficiario controlador, geografía y perfil de operaciones.
Documenta cómo se consultan y resuelven coincidencias en listas de sanciones y registros judiciales.
Define qué evidencia tendrás que conservar para demostrar decisiones y controles.
Antes del 1 de marzo de 2027
Diseña y documenta la metodología EBR con factores, indicadores, ponderaciones, mitigantes y responsables.
Actualiza el Manual de Políticas Internas y alinea sus procedimientos con la metodología.
Implementa la clasificación de clientes en niveles bajo, medio y alto, con criterios comprobables.
Define la política de conocimiento del cliente, las revisiones periódicas y los controles reforzados.
Estandariza la identificación del beneficiario controlador y la documentación de la estructura corporativa.
Capacita a las áreas que recaban información, realizan revisiones o escalan alertas.
No esperes a tener todo automatizado para empezar: la revisión de procesos, datos y responsabilidades puede comenzar antes de la entrada en vigor general. Así llegarás a marzo con una metodología implementable, no solo con un documento nuevo.
Automatizar sin multiplicar el equipo
El reto no es únicamente revisar más información; es hacerlo con consistencia y conservar evidencia de cómo llegaste a cada conclusión. Las herramientas tecnológicas pueden ayudar a validar identidades, consultar distintas fuentes, organizar resultados y acelerar el análisis. Pero la empresa sigue siendo responsable de establecer sus criterios y tomar decisiones acordes con sus obligaciones.
En ese contexto, las KYC and AML compliance solutions pueden aportar eficiencia cuando conectan datos confiables con procesos documentados. Nufi ofrece reportes en menos de 5 minutos y consultas en más de 100 fuentes de información, con validación de identidad, análisis de registros públicos y judiciales y revisión de vínculos empresariales. Estas capacidades pueden apoyar la debida diligencia y el cumplimiento AML en México, sin sustituir la evaluación legal ni los controles internos de tu organización.
La reforma tiene fechas concretas, pero su exigencia de fondo es más amplia: demostrar que conoces tus riesgos y que actúas en función de ellos. Si quieres revisar cómo fortalecer tus procesos de identificación, análisis y due diligence sin multiplicar el equipo, contacta al equipo comercial de Nufi para conversar sobre las necesidades de tu operación.
Fuentes de referencia: Acuerdo 115/2026 publicado en el Diario Oficial de la Federación el 7 de agosto de 2026; análisis de EY Law y Von Wobeser sobre las modificaciones a las Reglas de Carácter General de la LFPIORPI.
Comentarios