Nuevas reglas de la Ley Antilavado 2026: qué cambia y cómo deben prepararse las empresas

Las nuevas Reglas de Carácter General de la Ley Antilavado cambian el cumplimiento para las Actividades Vulnerables. Conoce fechas, obligaciones, riesgos y cómo prepararte para 2027.

La reforma transforma el cumplimiento de las Actividades Vulnerables: ya no basta con identificar clientes y presentar avisos por monto; ahora se exige administrar riesgos, conocer el perfil transaccional y demostrar que los controles funcionan.

El 7 de agosto de 2026 se publicó el Acuerdo 115/2026 que modifica las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). Estas reglas desarrollan las obligaciones que la reforma legal del 16 de julio de 2025 había incorporado y que posteriormente fueron complementadas por la reforma al Reglamento del 27 de marzo de 2026.

Para quienes realizan Actividades Vulnerables, el cambio es de fondo: el cumplimiento deja de concentrarse únicamente en expedientes de identificación, acumulación de operaciones y avisos por umbral, y evoluciona hacia un sistema integral de prevención basado en riesgos.

1. ¿Qué cambia realmente con las nuevas reglas?

La reforma de 2025 incorporó nuevas obligaciones al artículo 18 de la LFPIORPI. Las Reglas 2026 explican cómo deberán implementarse. Entre los cambios más relevantes se encuentran:

• Una metodología formal de evaluación con enfoque basado en riesgos.
• Clasificación individual de clientes o usuarios, como mínimo, en riesgo bajo, medio y alto.
• Determinación y revisión del perfil transaccional de cada cliente.
• Mayor profundidad en la identificación del Beneficiario Controlador.
• Controles específicos para Personas Políticamente Expuestas (PEP).
• Sistemas de alertas y procedimientos para analizar operaciones inusuales o sospechosas.
• Mecanismos automatizados para consolidar operaciones, monitorear comportamiento y acumular montos.
• Un Manual de Políticas Internas que refleje el funcionamiento real del negocio.
• Capacitación anual y procedimientos de selección de personal.
• Auditoría periódica de la efectividad del sistema de cumplimiento.

La idea central es sencilla: la autoridad ya no sólo podrá preguntar si existe un expediente o si se presentó un aviso; también podrá revisar por qué la empresa clasificó a un cliente de determinada manera, qué datos utilizó, qué alertas se generaron y cómo documentó sus decisiones.

2. Fechas clave: no todas las obligaciones empiezan al mismo tiempo

Aunque el Acuerdo se publicó el 7 de agosto de 2026, su entrada en vigor general y las obligaciones más complejas tienen un calendario escalonado:

3. ¿Qué empresas deben prestar especial atención?

El punto de partida sigue siendo el artículo 17 de la LFPIORPI. Entre las actividades que pueden ubicarse como vulnerables se encuentran, según el supuesto aplicable:

• Juegos con apuesta, concursos y sorteos.
• Emisión o comercialización de determinadas tarjetas e instrumentos de almacenamiento de valor.
• Préstamos, mutuos, créditos y ciertas garantías fuera del sistema financiero.
• Construcción, desarrollo e intermediación inmobiliaria, así como recepción de recursos destinados a desarrollos para venta o renta.
• Comercialización o intermediación de metales y piedras preciosas, joyas, relojes y obras de arte.
• Comercialización o distribución habitual o profesional de vehículos.
• Blindaje, traslado o custodia de dinero o valores.
• Determinados servicios profesionales independientes y servicios de fe pública.
• Donativos recibidos por asociaciones y sociedades sin fines de lucro.
• Determinadas operaciones de comercio exterior.
• Uso o goce de bienes inmuebles.
• Servicios relacionados con activos virtuales en los supuestos previstos por la Ley.

Importante: cada actividad tiene reglas específicas de identificación, aviso, acumulación y, en algunos casos, restricciones de efectivo. Por eso no basta con conocer el giro general de la empresa; debe analizarse el acto u operación concreta y la fracción aplicable.

¿Y qué pasa con contadores, abogados y consultores?

No todo servicio profesional se convierte automáticamente en Actividad Vulnerable. La fracción XI depende de la naturaleza del servicio que se prepara o realiza para el cliente. Entre los supuestos relevantes están la compraventa de inmuebles, administración de recursos o activos, manejo de cuentas, organización de aportaciones de capital, constitución u operación de sociedades, fideicomisos u otras estructuras y la compraventa de entidades mercantiles.

En estos casos conviene revisar contratos, poderes, instrucciones del cliente y la forma en que realmente se ejecutan las operaciones. Llevar contabilidad o presentar declaraciones, por sí solo, no debe confundirse con todos los supuestos de la fracción XI.

4. El nuevo eje del cumplimiento: conocer y medir el riesgo

Las Reglas obligan a diseñar una metodología que permita identificar, analizar, entender, medir y mitigar los riesgos asociados con la Actividad Vulnerable. La metodología deberá considerar, como mínimo:

• Actos u operaciones que realiza la empresa.
• Tipo de clientes o usuarios.
• Países y áreas geográficas involucradas.
• Transacciones y canales de envío o distribución.
• Controles o mitigantes existentes y su aplicación efectiva.

La metodología debe asignar valores consistentes a los indicadores de riesgo y utilizar, en principio, información correspondiente a un periodo no menor a 12 meses. También deberá revisarse cuando aparezcan nuevos riesgos, se actualice la Evaluación Nacional de Riesgos o conforme a los plazos previstos por las propias reglas.

5. Cada cliente tendrá un grado de riesgo y un perfil transaccional

Las nuevas reglas establecen que los clientes o usuarios deben clasificarse, como mínimo, en riesgo bajo, medio y alto. Para ello deberán considerarse características personales y transaccionales, como giro, nacionalidad, residencia, fuentes de ingreso, propósito de la relación, volumen, frecuencia, monto de operaciones, contrapartes y origen o destino de los recursos.

La clasificación deberá revisarse al menos cada seis meses, con mayor frecuencia cuando el riesgo sea mayor.

¿Qué es el perfil transaccional?

Es el comportamiento esperado del cliente. Debe considerar, entre otros elementos, monto, frecuencia, zona geográfica, origen y destino de recursos y actividad económica. Durante los primeros meses de la relación, la empresa deberá considerar incluso los montos máximos mensuales que el propio cliente estime realizar para construir el perfil inicial.

Ejemplo práctico

Una persona declara ingresos mensuales de $200,000, señala que adquirirá uno o dos vehículos al año y que pagará desde su propia cuenta. En pocos meses compra varias unidades por millones de pesos y los pagos llegan desde distintas sociedades y desde el extranjero. Aunque cada operación tenga documentación, el comportamiento se aparta del perfil esperado y debe generar análisis adicional.

La empresa deberá revisar la explicación económica, origen de recursos, participación de terceros, beneficiario controlador, actividad del cliente y cualquier otro factor relevante antes de decidir cómo continuar.

6. Beneficiario Controlador: ya no basta con saber quién firma

Para personas morales, las Reglas establecen un orden mínimo de identificación del Beneficiario Controlador:

1. Identificar a la persona física o grupo de personas físicas que directa o indirectamente tenga 25% o más de la participación accionaria o social.
2. Si no puede determinarse por participación, identificar a quien ejerza control por otros medios y participe en estrategia, decisiones o dirección de políticas principales.
3. Si tampoco se identifica de esa forma, considerar a quien ocupe la posición administrativa de mayor grado o alta dirección, conforme a las reglas.

El procedimiento debe documentarse y conservarse. En estructuras con sociedades intermedias debe recorrerse la cadena hasta llegar a la persona física que, en última instancia, posee o controla.

Documentación que conviene tener

• Acta constitutiva y reformas relevantes.
• Libro o registro de socios/accionistas.
• Organigrama de propiedad.
• Documentación de sociedades intermedias.
• Declaración de Beneficiario Controlador.
• Evidencia de verificación y bitácora de actualizaciones.

7. Personas Políticamente Expuestas: un control que debe integrarse desde el alta

Las reglas desarrollan expresamente el tratamiento de las Personas Políticamente Expuestas (PEP) e incluyen determinados familiares y personas con vínculos patrimoniales. Las PEP extranjeras deben considerarse, como mínimo, de riesgo alto, mientras que las PEP nacionales requieren factores adicionales de evaluación y análisis de congruencia entre su comportamiento transaccional, ingresos, funciones y responsabilidades.

Cuando una PEP también se clasifique como de alto riesgo, deberá existir la aprobación de un directivo o equivalente para la operación o relación, conforme al Manual de Políticas Internas.

Las reglas contemplan además la aplicación oficial Consulta PEP 2.0, cuya disponibilidad está sujeta al calendario transitorio.

8. Avisos por sospecha en 24 horas: el monto deja de ser el único criterio

Uno de los cambios más relevantes de la reforma es el aviso basado en sospecha, hechos o indicios. La Ley establece un plazo de 24 horas desde que se conoce la información o se genera la sospecha, incluso cuando el acto u operación no se hubiera celebrado.

Las Reglas señalan que para reconocer una operación inusitada deben considerarse, entre otros, el monto, frecuencia, forma e instrumentos de pago, periodos, zona geográfica y naturaleza de la operación. La información también puede provenir de fuentes públicas o privadas.

• Operaciones que crecen de forma abrupta sin explicación económica.
• Pagos de terceros sin relación aparente con el cliente.
• Fraccionamiento de operaciones cercanas a umbrales.
• Inconsistencias entre la actividad declarada y el monto operado.
• Estructuras corporativas innecesariamente complejas o difíciles de explicar.
• Información negativa relevante en fuentes confiables.
• Uso de jurisdicciones o contrapartes de mayor riesgo.

9. Mecanismos automatizados: no necesariamente significa comprar un sistema costoso

El artículo 41 exige mecanismos automatizados razonablemente adecuados al volumen, naturaleza, complejidad y riesgo de la empresa. Deben permitir, entre otras funciones:

• Conservar y actualizar expedientes de clientes.
• Consolidar todas las operaciones del mismo cliente.
• Monitorear desviaciones del perfil transaccional.
• Acumular operaciones para efectos de avisos.
• Alimentar la metodología de riesgos.
• Ejecutar el modelo de clasificación de clientes.
• Conservar el historial de cambios de riesgo y perfil por al menos 10 años.
• Generar alertas para clientes de alto riesgo, PEP, listas y jurisdicciones de riesgo.
• Monitorear el uso de efectivo y metales preciosos.

La propia definición de las Reglas admite sistemas especializados, bases de datos, hojas de cálculo u otros medios equivalentes, siempre que sus funciones cumplan con la norma y puedan ser verificadas por la autoridad. Para una PyME, la proporcionalidad será clave; lo indispensable es que el control tenga trazabilidad y funcione en la práctica.

10. Manual, capacitación y auditoría: el cumplimiento debe poder demostrarse

Manual de Políticas Internas

El Manual se convierte en el documento central del sistema. Debe incluir identificación y conocimiento de clientes, clasificación de riesgos, medidas de debida diligencia, PEP, desviaciones del perfil, avisos, conservación, acumulación, listas, funciones del Encargado de Cumplimiento, capacitación, control interno, auditoría, confidencialidad y actualización del propio Manual.

También deberá señalar los criterios para abrir, limitar o terminar relaciones comerciales de manera congruente con la metodología de riesgo. Un manual genérico que no corresponda con la operación real puede convertirse en un problema en una revisión.

Capacitación y selección de personal

La capacitación deberá impartirse por lo menos una vez al año a quienes participan en administración, atención al cliente, identificación, avisos, cumplimiento o auditoría. Las Reglas requieren conservar evidencia documental durante 10 años y señalan que quien imparta la capacitación deberá acreditar al menos cinco años de experiencia en prevención de lavado de dinero y delitos relacionados.

También deberán existir procedimientos de selección de personal orientados a calidad técnica, experiencia y honorabilidad, con declaraciones firmadas sobre determinados antecedentes.

Auditoría

La auditoría evaluará la efectividad del cumplimiento. Para sujetos con riesgo bajo o medio puede intervenir un área interna independiente que reúna las condiciones de las Reglas; cuando el riesgo sea alto, la revisión deberá realizarla una persona auditora externa independiente que cumpla los requisitos establecidos, incluida la certificación vigente de la UIF cuando resulte exigible conforme al artículo 45.

Un punto especialmente relevante es que el dictamen no sólo calificará si la obligación existe, sino si su eficacia puede demostrarse con evidencia objetiva. Esto confirma que la documentación de los controles será tan importante como el control mismo.

11. Efectivo, expedientes y conservación: tres riesgos operativos que no deben perderse de vista

Restricciones al efectivo

El artículo 32 de la LFPIORPI no sólo obliga a informar; prohíbe pagar o aceptar determinados actos u operaciones mediante efectivo, divisas o metales preciosos cuando se alcanzan los límites establecidos. Esto puede afectar, entre otras operaciones, inmuebles, vehículos, joyería, obras de arte, juegos, blindaje y determinados derechos de uso o goce.

El control ideal no consiste en advertir después del pago: debe impedir que la empresa acepte una forma de pago prohibida cuando se actualice el supuesto legal.

Actualización de expedientes

Las Reglas exigen verificar al menos una vez al año que los expedientes de clientes con relación de negocios cuenten con los datos y documentos requeridos y se encuentren actualizados. El comprobante de domicilio debe observar las condiciones y antigüedad que indiquen los anexos aplicables.

Conservación documental

La reforma establece un horizonte de conservación de al menos 10 años para información y documentación soporte de la Actividad Vulnerable, incluyendo registros que permitan reconstruir operaciones, correspondencia comercial y análisis previos. Varias obligaciones específicas -como historial de riesgo y capacitación- también utilizan ese periodo.

12. ¿Qué busca la autoridad con este nuevo modelo?

Esta parte es una lectura de contexto y no una obligación adicional. La estructura de la reforma coincide con la evolución internacional hacia sistemas que no sólo evalúan el cumplimiento técnico, sino también su efectividad.

En 2025, la UIF, el GAFI y GAFILAT realizaron actividades de preevaluación de México. El seguimiento del GAFI de 2023 todavía mostraba áreas de mejora para México en reporte de operaciones sospechosas, debida diligencia de actividades y profesiones no financieras y supervisión de dichos sectores. La reforma mexicana fortalece precisamente esos elementos.

En la práctica, el mensaje regulatorio parece ser el siguiente: quienes realizan Actividades Vulnerables deben dejar de actuar únicamente como presentadores de avisos y convertirse en participantes activos del sistema preventivo, capaces de identificar riesgos, detectar comportamientos atípicos y documentar decisiones.

13. ¿Qué debería hacer una empresa desde ahora?

Un plan razonable de preparación puede organizarse en los siguientes pasos:

1. Confirmar si la empresa realiza una Actividad Vulnerable y bajo qué fracción del artículo 17.
2. Revisar alta, registro, actividad declarada y Representante Encargado del Cumplimiento en el Portal PLD.
3. Consolidar la información histórica 2026 de clientes, operaciones, montos, frecuencia, formas de pago y zonas geográficas.
4. Diseñar la metodología institucional de evaluación de riesgos.
5. Crear el modelo para clasificar clientes en riesgo bajo, medio y alto.
6. Actualizar el Manual de Políticas Internas.
7. Rediseñar el expediente del cliente para incluir actividad, propósito, perfil, PEP y Beneficiario Controlador.
8. Implementar el perfil transaccional y su revisión periódica.
9. Diseñar mecanismos automatizados para acumulación, alertas, efectivo, riesgo y trazabilidad.
10. Definir el flujo para investigar señales de alerta y operaciones sospechosas.
11. Preparar programas de capacitación y selección de personal.
12. Realizar revisiones preventivas antes del primer periodo formal de auditoría.

14. Situaciones que requieren mayor cuidado

15. Sanciones: por qué el cumplimiento preventivo puede ser mucho más barato que corregir después

La reforma de 2025 actualizó el régimen de multas a UMA. Dependiendo de la infracción, la LFPIORPI contempla sanciones que pueden ir de 200 a 2,000 UMA; de 2,000 a 10,000 UMA; y, para determinados supuestos graves, de 10,000 a 65,000 UMA o de 10% a 100% del valor del acto u operación, lo que resulte mayor.

Con la UMA diaria 2026 de $117.31, 10,000 UMA representan aproximadamente $1,173,100 y 65,000 UMA aproximadamente $7,625,150, antes de considerar los supuestos en que el porcentaje del valor de la operación pudiera resultar mayor.

La Ley mantiene un mecanismo de regularización espontánea bajo determinadas condiciones, pero su procedencia depende del momento y de los requisitos legales. La mejor práctica es detectar y corregir internamente antes de que inicien facultades de verificación.

Conclusión: la Ley Antilavado entra en una nueva etapa

Las Reglas de 2026 no deben tratarse como una simple actualización de formatos. Para las empresas sujetas a la LFPIORPI representan un cambio de control interno y gobierno corporativo.

El nuevo estándar puede resumirse así: conocer al cliente, identificar quién está detrás, definir cómo debería operar, medir su riesgo, monitorear lo que realmente hace, investigar desviaciones, documentar decisiones y comprobar que los controles funcionan.

La ventaja es que la regulación permite proporcionalidad. Una empresa pequeña no necesariamente necesita un sistema similar al de un banco, pero sí necesita procesos verificables, información ordenada y evidencia suficiente para explicar ante la autoridad cómo administra sus riesgos.

Aviso importante

Este artículo es de carácter informativo y fue preparado con base en la normativa y fuentes oficiales consultadas al 8 de agosto de 2026. No sustituye una opinión legal, fiscal o de cumplimiento sobre un caso concreto. Para la aplicación de la norma debe prevalecer el texto publicado en el Diario Oficial de la Federación y las disposiciones vigentes al momento de la operación.

Contenido informativo. No sustituye una asesoría formal: su alcance depende de cada caso. Las disposiciones fiscales cambian, así que revisa la fecha de investigación antes de usar estas cifras.