El pasado 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó el Acuerdo 115/2026, el cual introduce cambios estructurales en el modelo de cumplimiento para quienes realizan Actividades Vulnerables en México.
Esta reforma transforma el cumplimiento tradicional, pasando de una gestión basada en expedientes a un modelo dinámico de gestión de riesgos.
Enfoque Basado en Riesgos (EBR) y Metodología
Enfoque Basado en Riesgos (EBR) es el eje central de las nuevas reformas, transformando la manera en que las entidades deben identificar, medir y mitigar sus vulnerabilidades en materia de prevención de lavado de dinero.
A continuación, se detallan los elementos fundamentales de la Metodología de EBR y su implementación según las fuentes:
Factores de Riesgo Obligatorios
La metodología debe diseñarse e implementarse analizando específicamente cuatro dimensiones críticas de la operación:
- Actos u operaciones: La naturaleza propia de las actividades vulnerables que realiza la entidad.
- Tipo de personas (clientes o usuarios): Las características de quienes realizan las operaciones.
- Países y áreas geográficas: El nivel de riesgo asociado a las zonas donde se opera o de donde provienen los recursos.
- Transacciones y canales de envío: Los medios utilizados para ejecutar las operaciones y movilizar los activos.
- Identificación de Mitigantes
No basta con identificar las amenazas; la metodología exige establecer mitigantes específicos. Estos son los controles y medidas diseñados para reducir la probabilidad o el impacto de los riesgos detectados en los cuatro ejes mencionados anteriormente.
Coherencia con la Capacitación y el Manual
La reforma exige que la capacitación anual que recibe el personal no sea genérica, sino que sea coherente con la Metodología de EBR. Esto significa que los empleados deben ser instruidos específicamente sobre los riesgos reales a los que la empresa está expuesta y las técnicas de prevención adecuadas para esos riesgos en particular. Todo este proceso debe quedar documentado en el Manual de Cumplimiento de la entidad.
Integración Tecnológica y Auditoría
Para que el EBR sea efectivo, debe estar integrado en los procesos diarios mediante:
- Mecanismos Automatizados: Los sistemas deben ser capaces de proveer la información necesaria de la Metodología de EBR y ejecutar el modelo de evaluación de riesgos de manera sistemática.
- Proceso de Auditoría: La auditoría debe obedecer a una metodología que incluya, obligatoriamente, un análisis de riesgo basado en los hallazgos para proponer acciones correctivas y recomendaciones de mejora.
Diferenciación Clave
Es fundamental distinguir la Metodología de EBR (que analiza a la entidad de forma global) del Modelo de Evaluación de Riesgos de Clientes. Mientras la primera es un marco estratégico, el segundo es una herramienta operativa que utiliza características inherentes y transaccionales para clasificar a cada cliente en niveles de riesgo (bajo, medio o alto) y realizar revisiones cada seis meses.
Clasificación de Grado de Riesgo
De acuerdo con las nuevas reglas, ya no basta con una identificación básica; ahora se debe implementar un modelo específico para categorizar a cada cliente.
- Modelo de Evaluación: Se debe diseñar un modelo de evaluación de riesgos que es distinto a la Metodología de Enfoque Basado en Riesgos (EBR), enfocándose en las características inherentes y transaccionales del cliente.
- Niveles de Riesgo: El sistema debe contar con al menos tres clasificaciones de riesgo (por ejemplo: bajo, medio y alto), permitiendo grados intermedios de forma opcional.
- Revisión Periódica: Es obligatorio revisar esta clasificación cada 6 meses para realizar reclasificaciones si el comportamiento del cliente lo amerita.
- Alertas: Los mecanismos automatizados de la empresa deben estar configurados para ejecutar este modelo y emitir alertas específicas para clientes en listas oficiales o aquellos catalogados como de alto riesgo.
Conocimiento del Cliente
Este concepto se profundiza para incluir no solo quién es el cliente, sino cómo opera.
- Perfil Transaccional: Se define a través de la información proporcionada por el propio cliente, pero también por el análisis del monto, número de operaciones, frecuencia, origen y destino de los recursos.
- Seguimiento y Monitoreo: Se deben establecer procedimientos de seguimiento para detectar cambios en el comportamiento habitual del cliente. Este monitoreo del perfil transaccional debe realizarse cada seis meses.
- Sistemas de Alertas: Es obligatorio contar con sistemas que detecten automáticamente cualquier cambio significativo en el perfil transaccional del cliente.
- Medidas Reforzadas: Para aquellos clientes que resulten clasificados como de alto riesgo, se deben adoptar medidas de debida diligencia reforzadas para mitigar las posibles amenazas.
Beneficiario Controlador y PEPs
- Beneficiario Controlador: Se precisan los criterios de identificación, estableciendo como primer parámetro a las personas físicas que posean, directa o indirectamente, el 25% o más del capital social o ejerzan el control efectivo.
- Personas Políticamente Expuestas (PEPs): Se homologa la definición con el sistema financiero. La UIF pondrá a disposición una lista oficial para consulta, la cual estará disponible aproximadamente en agosto de 2027.
Capacitación y Selección de Personal
- Capacitación: Debe ser anual para directivos y personal involucrado. Los instructores deben contar con al menos 5 años de experiencia en PLD.
- Selección: Se deben implementar procedimientos que aseguren la honorabilidad y calidad técnica de las nuevas contrataciones, incluyendo declaraciones firmadas de no inhabilitación.
Mecanismos Automatizados y Tecnología
Es obligatorio contar con sistemas que permitan la consolidación de operaciones, el monitoreo de perfiles transaccionales, la clasificación de riesgos y la generación de alertas.
Estos mecanismos deben ser proporcionales a la complejidad y volumen de las operaciones de la empresa.
Nuevo Esquema de Auditoría Anual
A partir del periodo 2028, la auditoría dejará de ser una revisión formal para convertirse en una evaluación de la efectividad operativa de los controles implementados. Este cambio implica requisitos diferenciados según el perfil de riesgo de su empresa:
- Entidades de Bajo o Medio Riesgo: La auditoría podrá ser interna, siempre que quien la realice sea independiente del encargado de cumplimiento, conozca los procesos internos y cuente con al menos una acreditación de capacitación en PLD.
- Entidades de Alto Riesgo: Se vuelve obligatoria una auditoría externa. El auditor designado deberá contar con título y cédula profesional, certificación vigente emitida por la UIF y al menos 3 años de experiencia en materia de PLD. Además, debe garantizarse su independencia: no puede haber prestado servicios al sujeto ni haber sido su encargado de cumplimiento durante el periodo auditado ni los dos años posteriores.
- Contenido y Metodología: La revisión ya no es discrecional; debe obedecer a una metodología estructurada que incluya un cuestionario de conocimiento del auditado, análisis de riesgos, hallazgos, acciones correctivas y recomendaciones de mejora.
- Plazos y Conservación: El dictamen final deberá elaborarse dentro de los tres meses posteriores al cierre del año y entregarse a las autoridades a más tardar el último día hábil de marzo. Es obligatorio conservar este documento por un periodo de 5 años.
Recomendaciones Finales
El periodo de transición no debe interpretarse como una etapa de espera, sino como una oportunidad para anticipar y preparar la implementación de las nuevas obligaciones. En este sentido, se recomienda realizar de manera inmediata un diagnóstico de brechas que permita identificar las diferencias entre los procesos actualmente implementados y los nuevos requerimientos regulatorios.
Este diagnóstico deberá considerar, entre otros aspectos, la actualización del Manual de Políticas y Procedimientos de PLD, la revisión y fortalecimiento de la Metodología de Evaluación de Riesgos, los procesos de identificación y conocimiento del cliente, la integración y actualización de los expedientes, la identificación del Beneficiario Controlador, así como los mecanismos de monitoreo, clasificación y seguimiento de las operaciones.
De igual manera, será importante evaluar la capacidad de los sistemas tecnológicos y mecanismos automatizados, a fin de determinar si cuentan con las funcionalidades necesarias para atender los nuevos requerimientos o si será necesario realizar adecuaciones, desarrollos o inversiones adicionales. Asimismo, deberá revisarse que los procedimientos internos sean consistentes con las nuevas disposiciones y que las áreas responsables conozcan claramente sus funciones y obligaciones.
La anticipación permitirá establecer un plan de trabajo con responsables, actividades y fechas de cumplimiento, evitando concentrar las adecuaciones en las fechas límite. También facilitará la capacitación oportuna del personal y permitirá realizar pruebas de los nuevos procesos y controles antes de que sean exigibles.
En este sentido, utilizar el periodo de transición para prepararse y corregir brechas reduce el riesgo operativo y regulatorio, facilita una implementación ordenada y disminuye la posibilidad de incurrir en incumplimientos que puedan derivar en observaciones o sanciones. La preparación anticipada no solo debe considerarse como una medida de cumplimiento, sino como una estrategia para fortalecer integralmente el sistema de prevención de lavado de dinero de la organización.
Nadia Melissa Magallón Flores
Gerente de Prevención de Lavado de Dinero
13 de agosto de 2026