Acuerdo 115/2026. La maduración del cumplimiento antilavado en México

§ 01Contexto

El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que reforma de manera integral las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). No se trata de ajustes técnicos a normativa existente; el acuerdo reordena la arquitectura completa del régimen aplicable a quienes realizan actividades vulnerables e incorpora catorce nuevos capítulos y anexos.

La reforma desplaza el eje del sistema. Hasta ahora, el cumplimiento giraba en torno a una pregunta operativa. ¿La operación supera cierto monto? Ahora la obligación central es distinta. ¿Cuál es el riesgo que el cliente representa? La diferencia marca el tránsito de un modelo reactivo a uno proactivo.

§ 02El giro conceptual hacia el enfoque basado en riesgos

El Artículo 18 de la LFPIORPI ya exigía cinco nuevas obligaciones desde la reforma de julio de 2025. El Acuerdo 115/2026 las hace operativas. La más transformadora es el Enfoque Basado en Riesgos (EBR).

Quienes realizan actividades vulnerables deberán diseñar e implementar una metodología de evaluación de riesgos documentada en el Manual de Políticas Internas. Esa metodología debe identificar elementos e indicadores de riesgo (tipo de cliente, país o zona geográfica de donde provienen los recursos, canales de operación, características de la transacción misma). A cada indicador asignarán un valor. Identificarán los mitigantes ya implementados. Incorporarán indicadores específicos vinculados a delitos previstos en los artículos 139 Quáter y 400 Bis del Código Penal Federal. Esta metodología no es una recomendación sino una obligación que vinculará las decisiones operativas subsecuentes de cada sujeto obligado.

§ 03El eje operativo. Cuatro nuevas responsabilidades institucionales

Junto al EBR, la reforma establece cuatro obligaciones que complementan la arquitectura de cumplimiento.

Manual de Políticas Internas

Eleva este instrumento a documento nuclear, con contenido mínimo de catorce apartados que incluyen criterios de identificación, medidas de control interno, procedimientos de monitoreo, mecanismos de auditoría y documentación de cómo se implementa el enfoque de riesgos.

Mecanismos automatizados

Desaparece la opción del cumplimiento manual. Los sistemas que implemente el sujeto obligado deben permitir expediente único de identificación consolidado, perfil transaccional que cubra históricos de al menos diez años, un motor capaz de clasificar automáticamente el grado de riesgo de cada cliente, alertas que vinculen a Personas Políticamente Expuestas (PEP) con listas sancionatorias y monitoreo dedicado del uso de efectivo. La norma trata estas funciones como mínimas y exigibles, no como módulos opcionales de un sistema general.

Capacitación anual

La periodicidad responde a la naturaleza cambiante del riesgo, no a una preferencia del legislador. Los capacitadores deben acreditar al menos cinco años de experiencia demostrable. Cada participante será evaluado. Toda la evidencia se conserva diez años.

Auditoría de cumplimiento

Cada año, la organización debe contar con un dictamen que certifique el estado del cumplimiento. Si el nivel de riesgo es bajo o medio, una auditoría interna puede satisfacer la obligación. Si es alto, requiere auditor externo independiente, certificado ante la Unidad de Inteligencia Financiera, con reglas estrictas de independencia que impiden conflictos de interés.

§ 04Quién entra al régimen y cuándo

La reforma obliga a todas las personas que realizan cualquiera de las dieciséis actividades vulnerables previstas en el Artículo 17 de la LFPIORPI. Estas incluyen inmobiliarias, desarrollo inmobiliario (incorporado en 2025), joyerías, notarios, venta de vehículos, comercio de arte, servicios profesionales independientes, activos virtuales, cambio de divisas, juegos de azar, prestamistas y otros. Si opera en alguno de esos giros, la reforma aplica.

El Acuerdo entra en vigor el 30 de noviembre de 2026, pero la exigibilidad es escalonada.

30 de noviembre de 2026. Entrada en vigor.

1 de marzo de 2027. Exigibilidad de la metodología de riesgos, el manual de políticas internas, la identificación reforzada del cliente y los capítulos sobre beneficiarios controladores.

1 de junio de 2027. Mecanismos automatizados deben estar operativos.

Año 2027. Primer período de capacitación obligatoria.

Ejercicio 2028. Primera auditoría (dictamen a más tardar el 31 de marzo).

§ 05Tres obligaciones que ya están vigentes

Aunque el Acuerdo entra en vigor en noviembre, tres cambios rigen desde ahora.

El umbral para identificar al beneficiario controlador bajó al 25 por ciento. Cualquier persona que tenga participación accionaria o control del veinticinco por ciento o más en una sociedad mercantil, fideicomiso u otra figura jurídica es beneficiario controlador y debe ser identificada formalmente, documentada y monitoreada según los estándares que la reforma fija.

La conservación de información pasó de cinco a diez años. Expedientes de identificación y documentación de operaciones deben guardarse una década en domicilio registrado ante la Secretaría de Hacienda, en formato físico o electrónico, con seguridad y accesibilidad garantizadas.

El aviso de sospecha ahora tiene plazo de veinticuatro horas, incluso si la operación no se celebró. Basta que se sospeche de operaciones con recursos ilícitos para notificar a la Unidad de Inteligencia Financiera dentro de ese período.

§ 06Implicación para el cumplimiento institucional

La reforma cambió el centro de gravedad del compliance. Ya no es suficiente un departamento reactivo que notifique operaciones cuando superan umbrales. Las organizaciones necesitan ahora instrumentos nuevos.

Una gobernanza clara que asigne responsabilidades por evaluación de riesgos, implementación del manual, supervisión de mecanismos automatizados, seguimiento de PEP y coordinación de auditorías.

Una base de datos de clientes estructurada que permita clasificar por riesgo, documentar indicadores, conservar históricos transaccionales completos y generar alertas.

Profesionales dedicados. Alguien debe entender el manual, interpretarlo, entrenarse en su lógica, capacitar anualmente y responder cuestionamientos de la auditoría.

Inversión tecnológica. Los mecanismos automatizados no son aspiracionales. El regulador fija funciones mínimas. Si no están presentes, la auditoría documentará incumplimiento.

Transparencia ante el regulador. El artículo 55 del Reglamento prevé autocorrección. Si antes de que el SAT inicie verificación se detecta incumplimiento y se corrige voluntariamente, se evitan sanciones. La ventana está abierta mientras el ciclo de 2026 transcurre. Después será más costoso regularizar.

§ 07Alineación con estándares internacionales

El Grupo de Acción Financiera Internacional (GAFI) ha marcado el estándar para prevención de lavado de dinero en el mundo. México tradicionalmente se rezagaba en los segmentos de actividades vulnerables. El Acuerdo 115/2026 cierra esa brecha. Por primera vez, el régimen mexicano dialoga de manera clara y técnica con esos estándares. El lenguaje del EBR, la auditoría proporcional al riesgo, la gobernanza documentada y el uso de tecnología son exigencias GAFI que México ya planteaba a entidades financieras. Ahora las exporta al universo más amplio de profesionales y empresas que operan en espacios de riesgo.

§ 08Próximos pasos

Quienes realizan actividades vulnerables tienen hasta el 1 de marzo de 2027 para contar con metodología de riesgos operativa, manual actualizado, estructuras de identificación de beneficiarios controladores y sistemas que soporten la nueva arquitectura. Ese plazo no es lejano y no permite mera adhesión formal; exige rediseño operativo.