Nuevas reglas de PLD 2026: ¿qué cambia para quienes realizan Actividades Vulnerables?

Por Dr. Eduardo Aguilar Cueto | VMG Advisory

La prevención de lavado de dinero en México entra en una nueva etapa.

El 24 de julio de 2026 fue publicado el Acuerdo 115/2026, mediante el cual la Secretaría de Hacienda y Crédito Público modifica de manera amplia las Reglas de carácter general relacionadas con la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).

La reforma representa un cambio importante en la forma en que deberán cumplir quienes realizan Actividades Vulnerables, porque el modelo deja de concentrarse únicamente en la identificación de clientes y presentación de avisos para incorporar un sistema mucho más completo de administración de riesgos y cumplimiento preventivo.

¿Cuándo entran en vigor las nuevas reglas?

El Acuerdo establece como regla general que las modificaciones entrarán en vigor el 30 de noviembre de 2026. Sin embargo, diversas obligaciones tendrán fechas específicas de implementación durante 2027 y 2028.

Por ello, las empresas no deberían esperar hasta noviembre para comenzar a prepararse.

Principales cambios: antes y después

Tema	Esquema anterior	Nuevas reglas 2026
Enfoque de cumplimiento	Cumplimiento principalmente documental	Enfoque basado en riesgos
Clientes	Identificación y expediente	Identificación + conocimiento + clasificación de riesgo
Riesgo	Criterios generales	Metodología formal de evaluación de riesgos
Perfil del cliente	No estaba desarrollado con el mismo nivel de detalle	Perfil transaccional
Beneficiario controlador	Identificación conforme a las reglas aplicables	Procedimiento específico y documentado
Personas políticamente expuestas	Identificación y seguimiento	Clasificación y medidas reforzadas
Manual PLD	Políticas y procedimientos	Manual integral de políticas internas
Tecnología	Sistemas para avisos y controles	Mecanismos automatizados de monitoreo
Capacitación	Obligaciones existentes de capacitación	Programa anual, evaluaciones y evidencia documental
Personal	Controles generales	Procedimientos de selección y honorabilidad
Auditoría	Menor formalización	Nuevo capítulo específico de auditoría
Conservación de información	Obligaciones existentes	Mayor énfasis en evidencia y trazabilidad

1. El cambio más importante: ahora se exige un verdadero enfoque basado en riesgos

Uno de los principales cambios consiste en la incorporación del Capítulo II Quáter, denominado “Enfoque basado en riesgos”.

Las personas que realizan Actividades Vulnerables deberán diseñar e implementar una metodología para evaluar los riesgos derivados de sus operaciones, clientes, transacciones y canales utilizados.

Esto significa que ya no será suficiente tener un expediente del cliente y presentar los avisos correspondientes.

La empresa deberá poder responder preguntas como:

• ¿Quién es nuestro cliente?

• ¿Cuál es su actividad económica?

• ¿Cuál es el origen y destino de sus recursos?

• ¿Qué operaciones realiza normalmente?

• ¿Cuál es el monto y frecuencia de sus operaciones?

• ¿En qué zona geográfica opera?

• ¿Su comportamiento corresponde con su perfil?

• ¿Qué factores hacen que represente un riesgo bajo, medio o alto?

• ¿Qué medidas está tomando la empresa para mitigar ese riesgo?

La metodología deberá considerar factores como los actos u operaciones, tipo de cliente, países o áreas geográficas y canales de operación.

¿Qué significa esto en términos empresariales?

Que el cumplimiento de PLD deja de ser exclusivamente una función administrativa.

Ahora se convierte en un sistema de control interno.

2. Los clientes deberán clasificarse por nivel de riesgo

Las nuevas reglas incorporan un capítulo específico para la clasificación del grado de riesgo de los clientes y usuarios.

Como mínimo deberán existir tres niveles:

Riesgo bajo, riesgo medio y riesgo alto.

Además, la evaluación deberá realizarse inicialmente y posteriormente, como mínimo, cada seis meses.

Esto cambia radicalmente la lógica tradicional de los expedientes PLD.

No todos los clientes deberán recibir necesariamente el mismo nivel de revisión.

Por ejemplo:

Cliente de bajo riesgo

Puede estar sujeto a medidas simplificadas cuando se cumplan los requisitos establecidos.

Cliente de riesgo medio

Deberá contar con el expediente correspondiente y mantenerse bajo monitoreo.

Cliente de alto riesgo

Requerirá información adicional, mayor monitoreo y medidas reforzadas de debida diligencia.

La empresa deberá ser capaz de demostrar por qué clasificó a un cliente en determinado nivel de riesgo.

3. Aparece con mayor fuerza el concepto de “Perfil transaccional”

Las nuevas reglas incorporan expresamente el concepto de perfil transaccional.

Este deberá considerar elementos como:

• monto;

• frecuencia;

• zona geográfica;

• origen y destino de los recursos;

• actividad económica; y

• otras circunstancias relevantes.

Además, deberán establecerse mecanismos para detectar cuando las operaciones del cliente se aparten de su comportamiento esperado.

Por ejemplo:

Una empresa que normalmente realiza operaciones por $200,000 mensuales y repentinamente comienza a realizar operaciones por varios millones de pesos deberá generar una alerta que permita analizar la situación.

El objetivo no es impedir automáticamente la operación.

El objetivo es detectar comportamientos que ameriten una revisión.

4. Beneficiario controlador: mayor profundidad en la identificación

Otro cambio relevante es la incorporación de un capítulo específico para el Beneficiario Controlador.

Las nuevas reglas establecen un orden de prelación para identificarlo.

Primero deberá buscarse a la persona física que directa o indirectamente posea o controle 25% o más de la composición accionaria o parte social.

Si esto no permite determinar al beneficiario controlador, deberán analizarse otras formas de control y, finalmente, la persona que ocupe la posición administrativa o de alta dirección correspondiente.

Esto es especialmente importante para:

• grupos empresariales;

• estructuras corporativas complejas;

• fideicomisos;

• sociedades con participación indirecta;

• estructuras con socios extranjeros; y

• empresas con diferentes niveles de control.

La conclusión práctica es clara:

Identificar al representante legal ya no equivale a identificar al beneficiario controlador.

5. El Manual de Políticas Internas adquiere una importancia mucho mayor

Las nuevas reglas fortalecen considerablemente el contenido del Manual de Políticas Internas.

El manual deberá contemplar, entre otros aspectos:

• identificación y conocimiento del cliente;

• clasificación de riesgos;

• debida diligencia;

• seguimiento de Personas Políticamente Expuestas;

• monitoreo del perfil transaccional;

• presentación de avisos;

• conservación de información;

• identificación de personas incluidas en listas;

• funciones del representante encargado de cumplimiento;

• capacitación;

• control interno;

• supervisión y auditoría;

• confidencialidad; y

• actualización del propio manual.

Por lo tanto, un manual genérico descargado de internet puede dejar de ser suficiente.

El documento deberá estar relacionado con la operación real, los riesgos reales y los clientes reales de cada sujeto obligado.

6. La tecnología se convierte en parte del cumplimiento

Las nuevas reglas incorporan expresamente los mecanismos automatizados.

Estos mecanismos pueden incluir sistemas informáticos especializados, pero también procesos apoyados en hojas de cálculo, bases de datos u otras herramientas equivalentes, siempre que cumplan con las funciones previstas y puedan ser verificables ante la autoridad.

Esto abre una oportunidad importante para las empresas.

No necesariamente significa que todas tengan que adquirir un sistema costoso.

Lo importante será que puedan demostrar:

qué monitorean, cómo lo monitorean, qué alertas generan, quién las revisa y qué acciones se toman como consecuencia de esas alertas.

Sin embargo, existe una fecha límite importante:

Los sujetos obligados deberán contar con estos mecanismos automatizados a más tardar el 1 de junio de 2027, y deberán contener información de las operaciones realizadas a partir de esa fecha.

7. Capacitación: deja de ser un trámite y se convierte en un proceso permanente

Las nuevas reglas establecen que la capacitación deberá realizarse por lo menos una vez al año.

Los contenidos deberán incluir, entre otros:

• LFPIORPI;

• Reglamento;

• Reglas de carácter general;

• Manual de Políticas Internas;

• Actividades Vulnerables;

• riesgos a los que está expuesta la empresa;

• técnicas y métodos para prevenir y detectar operaciones ilícitas.

Además, deberán conservarse durante al menos diez años las evidencias documentales de la capacitación.

Incluso se contempla la aplicación de evaluaciones a los participantes y la obligación de capacitar al personal que ingrese a determinadas áreas.

El primer periodo anual de capacitación comprenderá del 1 de enero al 31 de diciembre de 2027.

8. También se fortalece la selección del personal

Las nuevas disposiciones incorporan procedimientos de selección que deberán buscar que el personal tenga:

• calidad técnica;

• experiencia necesaria; y

• honorabilidad.

Estas reglas deberán aplicarse a las nuevas contrataciones realizadas a partir del 1 de marzo de 2027.

Esto representa una evolución interesante porque el sistema de prevención comienza a considerar no solamente al cliente, sino también al riesgo interno de la propia organización.

9. La auditoría entra formalmente al modelo de cumplimiento

Uno de los cambios que más deben llamar la atención de las empresas es la incorporación de un Capítulo XIV denominado “De la Auditoría”.

Esto es especialmente relevante para las empresas que realizan Actividades Vulnerables porque el cumplimiento deja de verse únicamente como una obligación operativa.

Ahora también deberá existir una perspectiva de:

revisión, supervisión, evaluación y mejora del sistema de prevención.

El primer periodo de revisión de auditoría comenzará el 1 de enero de 2028 y concluirá el 31 de diciembre de 2028.

10. Nuevas obligaciones, pero también un nuevo concepto de cumplimiento

La reforma puede resumirse en una frase:

De un modelo basado en documentos y avisos hacia un modelo basado en riesgos, monitoreo y evidencia.

Antes, muchas empresas entendían el cumplimiento de PLD como:

Identificar → integrar expediente → presentar aviso.

El nuevo modelo se acerca mucho más a:

Identificar → conocer → clasificar → determinar riesgo → establecer perfil → monitorear → detectar desviaciones → mitigar → documentar → capacitar → supervisar → auditar.

Ese es probablemente el cambio conceptual más importante.

¿Cuándo deben prepararse las empresas?

Aunque el Acuerdo entra en vigor el 30 de noviembre de 2026, no todas las obligaciones comienzan el mismo día.

Fecha	Obligación relevante
30 noviembre 2026	Entrada en vigor general
1 marzo 2027	Evaluación basada en riesgos disponible ante requerimiento
1 marzo 2027	Manual de Políticas Internas con metodología de riesgos
1 marzo 2027	Aplicación de clasificación de riesgo, conocimiento del cliente y beneficiario controlador
1 marzo 2027	Nuevos procedimientos de selección de personal
1 junio 2027	Mecanismos automatizados
2027	Primer periodo anual de capacitación
2028	Primer periodo de revisión de auditoría

Las fechas anteriores derivan de los artículos transitorios del propio Acuerdo.

¿Qué deberían hacer las empresas desde ahora?

Desde una perspectiva de cumplimiento, recomendamos realizar un diagnóstico integral de PLD antes de que entren en vigor las nuevas obligaciones.

1. Revisar si la empresa realiza Actividades Vulnerables

No basta con revisar el objeto social.

Debe analizarse la operación real de la empresa y determinar si se encuentra dentro de alguno de los supuestos de la LFPIORPI.

2. Revisar expedientes de clientes

Verificar que estén completos, actualizados y que permitan identificar correctamente al beneficiario controlador.

3. Diseñar una metodología de riesgos

La metodología deberá corresponder a la realidad de cada empresa.

4. Clasificar a los clientes

Establecer criterios objetivos para determinar riesgo bajo, medio y alto.

5. Construir perfiles transaccionales

Definir qué comportamiento se espera de cada cliente.

6. Actualizar el Manual de Políticas Internas

El manual deberá reflejar los nuevos procesos y no limitarse a reproducir disposiciones legales.

7. Diseñar mecanismos de monitoreo

Establecer controles que permitan identificar operaciones inusuales o inconsistentes con el perfil del cliente.

8. Preparar un programa de capacitación

La capacitación deberá generar evidencia suficiente para demostrar su cumplimiento.

9. Preparar la infraestructura tecnológica

La empresa deberá contar con mecanismos automatizados a más tardar el 1 de junio de 2027.

10. Prepararse para la auditoría

El sistema deberá generar evidencia suficiente para demostrar que las políticas realmente se aplican.

Conclusión

Las modificaciones de 2026 representan uno de los cambios más importantes en materia de cumplimiento de Actividades Vulnerables en los últimos años.

El mensaje para las empresas es claro:

Tener un expediente PLD no significa necesariamente tener un sistema de cumplimiento PLD.

La nueva regulación exige que el sujeto obligado conozca sus riesgos, conozca a sus clientes, determine su comportamiento esperado, monitoree sus operaciones, identifique desviaciones, aplique medidas de mitigación y pueda demostrar documentalmente que todo ese proceso funciona.

Por ello, las empresas que realizan Actividades Vulnerables deberían comenzar desde ahora a revisar sus procedimientos.

Esperar a que llegue un requerimiento de la autoridad para descubrir que el sistema de cumplimiento no está preparado puede resultar considerablemente más costoso que realizar un diagnóstico preventivo.

En VMG Advisory recomendamos abordar esta transición como un proyecto de cumplimiento y control interno, no simplemente como una actualización documental.

¿Tu empresa está preparada para las nuevas reglas de PLD 2026?

En VMG Advisory podemos ayudarte a realizar un diagnóstico de cumplimiento, identificar brechas, actualizar políticas y procedimientos, diseñar matrices de riesgo, revisar expedientes de clientes, fortalecer la identificación del beneficiario controlador y preparar a la empresa para las nuevas obligaciones de monitoreo, capacitación y auditoría.