Se publican las nuevas Reglas de Carácter General de la LFPIORPI:
Se cierra el ciclo de la reforma antilavado y arranca el reloj para los sujetos obligados.
Fundamento: Acuerdo 115/2026, Secretaría de Hacienda y Crédito Público.
El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica de manera integral las Reglas de Carácter General (RCG) a que se refiere la LFPIORPI, vigentes desde 2013. Con esta publicación se cierra el ciclo normativo que inició con la reforma a la Ley en julio de 2025 y continuó con la reforma a su Reglamento en marzo de 2026: las RCG eran la pieza técnica que faltaba para poner en operación las nuevas obligaciones en materia de prevención de lavado de dinero y financiamiento al terrorismo (PLD/FT).
La modificación es de fondo. Se reforman decenas de artículos y se incorporan once nuevos capítulos que reordenan por completo el cumplimiento de quienes realizan Actividades Vulnerables del artículo 17 de la Ley. A continuación, lo esencial que todo sujeto obligado debe conocer y, sobre todo, el calendario para prepararse.
Un cambio de lógica: del cumplimiento por checklist al enfoque basado en riesgos
El eje de la reforma es el Enfoque Basado en Riesgos (EBR). Ya no basta con integrar expedientes y presentar avisos: ahora cada sujeto obligado debe diseñar e implementar una metodología propia de evaluación de riesgos que considere sus operaciones, el tipo de clientes, las zonas geográficas y los canales que utiliza, tomando como referencia la Evaluación Nacional de Riesgos que dé a conocer la UIF. Esa metodología debe medir el riesgo, identificar mitigantes e incluir indicadores específicos vinculados a los delitos de financiamiento al terrorismo y de operaciones con recursos de procedencia ilícita del Código Penal Federal.
De esa metodología se desprenden dos obligaciones nuevas y directamente conectadas:
Clasificación del cliente por grado de riesgo (al menos bajo, medio y alto), con reevaluación como mínimo cada seis meses.
Política de conocimiento del cliente y perfil transaccional, con un sistema de alertas para detectar operaciones que se aparten de dicho perfil y debida diligencia reforzada para los clientes de riesgo alto.
En otras palabras: el manual, la clasificación de clientes, el monitoreo, la capacitación y la auditoría deben ser coherentes entre sí y responder a los riesgos que cada negocio realmente enfrenta.
Los seis frentes que cambian la operación diaria
Beneficiario Controlador. Se desarrolla un procedimiento escalonado para identificar a la persona física que, en última instancia, obtiene el beneficio o ejerce el control efectivo sobre una persona moral, fideicomiso u otra figura jurídica. Para ello se consideran, entre otros elementos, la participación y los derechos de voto, así como otras formas de control; cuando no sea posible identificar a una persona física bajo dichos criterios, deberá atenderse a quien ejerza el cargo administrativo superior. Además, se establecen reglas específicas para fideicomisos y se exige documentar y conservar la evidencia que sustente el procedimiento de identificación.
Personas Políticamente Expuestas (PPE). Se precisa quién es PPE nacional y extranjera y se asimila a cónyuges, concubinas o concubinarios, parientes hasta el segundo grado y socios con vínculos patrimoniales. La consulta se realizará a través de la aplicación Consulta PEP 2.0 de la UIF.
Fideicomisos y otras figuras jurídicas. Se crea un procedimiento de alta y registro para quienes operan a través de fideicomisos u otras figuras —como la asociación en participación—, con nuevos anexos de identificación y el uso obligatorio de la e.firma asociada al RFC propio de la figura.
Manual de Políticas Internas. Se vuelve el documento rector del cumplimiento, con un contenido mínimo tasado de catorce apartados, exigible dentro de los 90 días naturales siguientes al alta.
Capacitación y selección de personal. Capacitación obligatoria al menos una vez al año, impartida por personas con experiencia acreditada de cinco años en la materia, con evidencia conservada por diez años; y procedimientos de selección de personal con declaración de honorabilidad.
Mecanismos automatizados. Una buena noticia para los sujetos obligados de menor tamaño: la regla reconoce expresamente que estos mecanismos pueden ir desde sistemas informáticos especializados hasta hojas de cálculo o bases de datos, siempre que cumplan las funciones mínimas de monitoreo, alertas y acumulación que exige la norma.
Auditoría anual: la verificación se vuelve obligatoria
Se incorpora una revisión anual obligatoria que evalúa la efectividad del cumplimiento durante cada ejercicio. Podrá realizarla un auditor interno cuando el riesgo del sujeto obligado sea bajo o medio, o deberá realizarla un auditor externo independiente con certificación vigente de la UIF y sin conflicto de interés cuando el riesgo sea alto o así se elija. El dictamen deberá calificar cada obligación en una de cinco categorías (desde "Cumple" hasta "No cumple") y entregarse a más tardar el último día hábil de marzo.
Avisos de 24 horas y activos virtuales
Se detallan los avisos por 24 horas: por sospecha o conducta inusitada del cliente, por hechos o indicios obtenidos de fuentes públicas o privadas, e incluso cuando la operación no llegue a celebrarse, siempre que existan datos para identificar a quien intentó realizarla. Asimismo, se establecen reglas específicas de trazabilidad, custodia, intermediación y umbrales para las operaciones con activos virtuales.
El calendario que hay que agendar hoy
Aunque el Acuerdo entra en vigor el 30 de noviembre de 2026, las obligaciones se activan de forma escalonada:
1 de marzo de 2027: metodología de EBR y Manual de Políticas Internas actualizado a disposición de la autoridad; inicio de las obligaciones de clasificación de riesgo, conocimiento del cliente e identificación del beneficiario controlador; nuevos procedimientos de selección para contrataciones.
1 de junio de 2027: deben estar operando los mecanismos automatizados.
Ejercicio 2027: primer periodo anual de capacitación (1 de enero al 31 de diciembre).
Ejercicio 2028: primer periodo de auditoría, cuyo dictamen deberá entregarse a más tardar el ultimo día hábil de marzo de 2029.
Avisos de 24 horas: exigibles seis meses después de que entre en vigor la Resolución que modifique los formatos oficiales.
¿Qué debe hacer un sujeto obligado ahora?
El plazo parece amplio, pero la carga de implementación es considerable. Recomendamos priorizar tres frentes antes del cierre de 2026:
Diagnóstico de brecha (gap analysis) frente a las nuevas RCG, para identificar qué falta en su Manual, expedientes y procesos.
Diseño de la metodología de EBR y del modelo de clasificación de clientes por grado de riesgo, que son la base de la que dependen casi todas las demás obligaciones.
Plan de implementación calendarizado que asegure llegar al 1 de marzo de 2027 con Manual, metodología y clasificación de clientes ya operando.
En Integra Compliance H&Z Fiscal & PLD acompañamos a los sujetos obligados en el diagnóstico, diseño e implementación de sus obligaciones bajo la LFPIORPI y sus nuevas Reglas de Carácter General.
Si desea evaluar el impacto de esta reforma en su operación, con gusto lo asesoramos.
Este boletín tiene fines informativos y no constituye asesoría legal o fiscal para un caso concreto.