1. RESUMEN

El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público (SHCP) publicó en la edición vespertina del Diario Oficial de la Federación el Acuerdo 115/2026, mediante el cual se reforman integralmente las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (Reglas PLD). Esta actualización representa la modificación más relevante al marco regulatorio desde su emisión en 2013 e incorpora elementos clave como la adopción formal de un enfoque basado en riesgos, la clasificación obligatoria de clientes conforme a su nivel de riesgo, disposiciones específicas sobre beneficiario controlador, la implementación de mecanismos automatizados y, por primera vez, la obligación de realizar auditorías anuales, internas o externas según el perfil de riesgo de la entidad.

La entrada en vigor de la reforma será escalonada. Si bien la fecha general de aplicación es el 30 de noviembre de 2026, diversas obligaciones sustantivas, entre ellas la metodología de evaluación de riesgos, la actualización del Manual de Políticas Internas, la implementación de mecanismos automatizados, así como los primeros ejercicios de capacitación y auditoría, contarán con plazos de implementación que se extenderán hasta 2027 y 2028.
En este contexto, se recomienda a los sujetos que realizan Actividades Vulnerables iniciar de manera inmediata un diagnóstico de brechas y un plan de adecuación regulatoria, ya que el desarrollo de la metodología de riesgos y la actualización del Manual de Políticas Internas constituyen los pilares sobre los cuales se soporta gran parte de las nuevas obligaciones previstas por la reforma.

2. PRINCIPALES NOVEDADES POR MATERIA

2.1 Enfoque basado en riesgos

• Metodología obligatoria de evaluación de riesgos. Quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología para evaluar el riesgo derivado de sus actos u operaciones, de sus clientes o usuarias, de sus transacciones y de sus canales de distribución.
• Elementos mínimos. La metodología debe considerar, entre otros, actos u operaciones, tipo de clientes, países/áreas geográficas y canales de envío o distribución, así como indicadores específicos vinculados a los delitos de operaciones con recursos de procedencia ilícita (Lavado de dinero) y financiamiento al terrorismo.
• Datos históricos y actualización. Debe utilizarse información de al menos doce meses (o datos proyectados si no se cuenta con operación previa) y revisarse cuando se detecten nuevos riesgos, se actualice la Evaluación Nacional de Riesgos o, en todo caso, cada doce meses; la información debe conservarse por al menos diez años.
• Facultad de ajuste del SAT. El SAT podrá señalar ajustes a la metodología o a los mitigantes, y solicitar un plan de acción cuando considere que la administración de riesgos es deficiente.

2.2 Clasificación del grado de riesgo del cliente

• Clasificación de riesgo. Los clientes y usuarios deberán clasificarse en al menos tres categorías de riesgo: bajo, medio y alto, sin perjuicio de que puedan establecerse niveles adicionales o intermedios conforme a la metodología adoptada.
• Actualización periódica. La clasificación de riesgo deberá revisarse como mínimo cada seis meses, incrementando la frecuencia de evaluación en función del nivel de riesgo asignado.
• Supuestos de alto riesgo. De manera obligatoria, deberán considerarse de alto riesgo los clientes no residentes en México vinculados con jurisdicciones de regímenes fiscales preferentes o con deficiencias en sus marcos de prevención de lavado de dinero y financiamiento al terrorismo, así como las Personas Políticamente Expuestas (PPE) extranjeras.
• Debida diligencia reforzada. Los clientes clasificados como de alto riesgo estarán sujetos a medidas reforzadas de conocimiento del cliente, incluyendo una validación más robusta del origen y destino de los recursos, la aplicación de cuestionarios de identificación ampliados y, en el caso de PPE de alto riesgo, la autorización previa de un funcionario de nivel directivo antes de llevar a cabo el acto u operación.

2.3 Conocimiento del cliente y perfil transaccional

• Política de conocimiento del cliente. Debe documentarse en el Manual de Políticas Internas e incluir mitigantes, seguimiento y monitoreo, determinación del perfil transaccional y criterios para modificar el grado de riesgo asignado.
• Perfil transaccional. Se define como el conjunto de elementos que permiten anticipar el comportamiento esperado del cliente (monto, frecuencia, zona geográfica, origen/destino de recursos, actividad económica, entre otros) y debe evaluarse, como mínimo, cada seis meses.
• Sistema de alertas. Se exige un sistema de alertas que detecte oportunamente desviaciones del perfil transaccional del cliente.

2.4 Personas Políticamente Expuestas

• Definición y ámbito. Se detalla quién se considera PPE (nacional o extranjera), así como cónyuges, concubinas, parientes hasta segundo grado y socios con vínculos patrimoniales; la calidad de PPE nacional se mantiene durante el año siguiente a la conclusión del cargo.
• Consulta PEP 2.0. Se formaliza el acceso a la aplicación "Consulta PEP 2.0" de la UIF, mediante Firma Electrónica Avanzada, para consultar la lista de PPE nacionales; las Entidades Financieras podrán solicitar habilitación de acceso cumpliendo requisitos específicos.

2.5 Beneficiario Controlador

• Orden de prelación para personas morales. (i) persona física que posea 25% o más del capital social; (ii) quien tenga el control por otros medios relacionados con la estrategia y toma de decisiones; (iii) el funcionario de mayor jerarquía o alta dirección, en ese orden.
• Fideicomisos. Se detalla exhaustivamente quién puede tener el carácter de beneficiario controlador (fiduciarios, fideicomitentes, fideicomisarios, protectores, comité técnico), exigiendo "mirar a través" de personas morales o estructuras jurídicas hasta identificar a la persona física de control último.
• Excepciones a la obligación de identificación. No se exige identificación de beneficiario controlador cuando el cliente cotiza en bolsa de valores reconocida (proporcionando su clave de pizarra) o es una Persona Moral Mexicana de Derecho Público, Embajada, Consulado, Organismo Internacional acreditado ante el Gobierno Mexicano, así como a las Sociedades, Dependencias y Entidades del régimen simplificado enlistadas en los anexos 7-A y 7 Bis-A de las Reglas de la LFPIORPI.
• Documentación y conservación. Debe documentarse el procedimiento de identificación seguido y mantenerse actualizado durante toda la relación de negocios.

2.6 Alta y registro mediante fideicomisos u otras figuras jurídicas

• Nuevo procedimiento de alta. Quienes actúen a través de un fideicomiso o de cualquier otra figura jurídica (p. ej., asociación en participación) deberán generar un archivo XML con la información de sus integrantes conforme a los nuevos Anexos 2 Bis y 2 Ter.
• Asociación en participación. El asociante será responsable del alta y registro, utilizando la Firma Electrónica Avanzada asociada al RFC de la asociación.

2.7 Manual de Políticas Internas

El Manual pasa a tener un contenido mínimo expresamente listado (14 fracciones), que incluye, entre otros: criterios de identificación y conocimiento del cliente; mecanismos de clasificación de riesgo; medidas de debida diligencia por grado de riesgo; procedimientos reforzados para PPE; mecanismos de detección de desviaciones del perfil transaccional; procedimientos de avisos e informes; mecanismos de conservación de información; listas de personas vinculadas a ilícitos; funciones del Representante Encargado de Cumplimiento; programas de capacitación; mecanismos de control interno, supervisión y auditoría; medidas de confidencialidad; y procedimiento de actualización del propio Manual.

• Grupos empresariales. Podrán implementar políticas y mecanismos de cumplimiento centralizados aplicables a todas sus sucursales y filiales (incluidas extranjeras), sujeto a ciertas condiciones.
• Exenciones documentadas. Es posible eximirse de establecer políticas para actos u operaciones que la entidad decida no realizar, siempre que ello se haga constar expresamente en el Manual.
• Facultad de la autoridad. El SAT podrá exigir modificaciones al Manual, cuando lo considere necesario para su correcta aplicación.

2.8 Capacitación y selección de personal

• Capacitación anual obligatoria. Dirigida a consejeros, administrador único, directivos, Representante Encargado de Cumplimiento y personal operativo relevante, con contenido mínimo definido y coherente con los resultados de la metodología de riesgos; quienes impartan la capacitación deben acreditar al menos cinco años de experiencia en la materia.
• Selección de personal. Se exige obtener declaración firmada de cada funcionario o empleado sobre antecedentes laborales relevantes y ausencia de sentencias por delitos patrimoniales o inhabilitaciones; aplica a nuevas contrataciones a partir de marzo de 2027.
• Conservación de evidencia. Diez años de conservación de constancias, listas de asistencia y evaluaciones de capacitación.

2.9 Mecanismos automatizados

Deben ser proporcionales al volumen, naturaleza, complejidad y riesgo de la entidad, y cumplir al menos seis funciones: (i) conservación y consulta del expediente único de identificación; (ii) consolidación y monitoreo de operaciones por cliente y acumulación de montos; (iii) alimentación de la metodología de riesgos; (iv) ejecución del modelo de clasificación de riesgo con historial de al menos diez años; (v) sistema de alertas para clientes de riesgo alto, PPE o personas en listas de riesgo; y (vi) monitoreo de uso de efectivo y metales preciosos.

2.10 Auditoría anual obligatoria

• Nueva obligación anual. Se introduce por primera vez la obligación de someter el cumplimiento de la Ley, su Reglamento y las Reglas a un dictamen de auditoría anual (periodo calendario), presentado al consejo de administración u órgano equivalente.
• Auditor interno o externo según el riesgo. Si el riesgo evaluado es bajo o medio, el dictamen puede emitirlo un área de auditoría/control interno independiente del Representante Encargado de Cumplimiento; si el riesgo es alto (o si la entidad lo elige libremente), la auditoría debe realizarla un auditor externo independiente que cumpla requisitos específicos (título profesional afín, tres años de experiencia, certificación vigente de la UIF, sin conflictos de interés ni haber fungido como Representante Encargado de Cumplimiento del auditado).
• Contenido mínimo del dictamen. Presentación, objeto, volumen de información y muestreo, proceso de auditoría, hallazgos, resultados de cumplimiento por obligación (calificados como "Cumple", "Cumple mayoritariamente", "Cumple parcialmente", "No cumple" o "No aplica") y acciones correctivas, incluyendo una proyección económica de las multas aplicables si no se atienden.
• Calendario. El dictamen debe entregarse a más tardar el último día hábil de marzo del año siguiente al periodo auditado, y conservarse por al menos cinco años; el primer periodo de auditoría corre del 1 de enero al 31 de diciembre de 2028.

2.11 Otros ajustes relevantes

• Activos virtuales. Se detallan las reglas de umbral de aviso cuando coinciden operación y contraprestación, así como el alcance de "custodia" y de "facilitación o intermediación" de activos virtuales.
• Notificaciones electrónicas. Se precisa el procedimiento y los plazos (tres días hábiles para abrir documentos; notificación surte efectos al cuarto día hábil) y se prevé una nueva causal de notificación por otros medios cuando la falla sea atribuible a la autoridad.
• Nuevas definiciones. Se incorporan, entre otras, Evaluación Nacional de Riesgos, Firma Electrónica, Grado de Riesgo, Manual de Políticas Internas, Mecanismos automatizados, Mensaje de datos, Mitigantes y Perfil transaccional.
• Días inhábiles. Se actualiza el listado de días inhábiles del SAT , conforme al esquema de "lunes de puente" para ciertas conmemoraciones.

3. CALENDARIO DE ENTRADA EN VIGOR Y PLAZOS CLAVE

4. RECOMENDACIONES Y PRÓXIMOS PASOS

• Realizar un diagnóstico de brechas entre las políticas actuales y las nuevas obligaciones, priorizando el diseño de la metodología de riesgos como base de las demás obligaciones.
• Actualizar el Manual de Políticas Internas conforme al contenido mínimo de 14 elementos.
• Revisar y, en su caso, robustecer los procesos de identificación de Beneficiario Controlador, especialmente en estructuras con fideicomisos, cadenas de tenencia o beneficiarios extranjeros.
• Evaluar la capacidad de los sistemas actuales para cumplir las seis funciones mínimas de mecanismos automatizados, considerando el plazo del 1 de junio de 2027.
• Planear con anticipación el primer ejercicio de auditoría anual (periodo 2028), incluyendo la decisión sobre auditoría interna vs. externa en función del grado de riesgo de la entidad, y la verificación de los requisitos de independencia y certificación del auditor.
• Actualizar los procedimientos de selección de personal y los programas de capacitación anual.

¿Desea saber más?

Con gusto puede ponerse en contacto con cualquiera de nuestros especialistas fiscales.