Primero: confirmar si la empresa realiza una actividad vulnerable
Las obligaciones no se aplican de la misma manera a todas las empresas. El punto de partida es identificar si los actos u operaciones encajan en las actividades previstas por la normativa, en qué supuestos y con qué frecuencia.
Ese análisis debe considerar la operación real. El objeto social, la industria o una descripción comercial pueden ser insuficientes si no se revisan transacciones, clientes, montos y canales. El texto vigente de la LFPIORPI y el Acuerdo 115/2026 publicado en el DOF deben leerse conjuntamente con la actividad concreta.
El cumplimiento basado en riesgos no pregunta únicamente si existe un expediente. Pregunta si la empresa entiende por qué una relación o transacción merece mayor atención.
La transición tiene fechas distintas
El Acuerdo fue firmado el 24 de julio de 2026 y establece una entrada en vigor general para el 30 de noviembre de 2026. Sus transitorios difieren determinadas obligaciones, de modo que no conviene presentar todo el cambio como inmediatamente exigible ni dejar la preparación para el último momento.
| Fecha | Hito previsto por el Acuerdo | Implicación empresarial |
|---|---|---|
| 30 nov. 2026 | Entrada en vigor general, salvo excepciones. | Alinear gobierno, responsables y plan de transición. |
| 1 mar. 2027 | Evaluación de riesgos y manual con metodología disponibles; aplicación de capítulos sobre clasificación, conocimiento y beneficiario controlador. | Contar con metodología documentada, datos y expedientes preparados. |
| 1 jun. 2027 | Fecha límite prevista para mecanismos automatizados. | Implementar alertas y evidencia verificable. |
| 2027–2028 | Capacitación anual desde 2027 y primer periodo de auditoría durante 2028. | Presupuestar capacitación, prueba y revisión independiente. |
Del control documental al sistema de gestión
Metodología de evaluación
La organización deberá identificar y medir riesgos considerando sus actos u operaciones, tipos de clientes, países o zonas geográficas, transacciones y canales. La metodología necesita estar documentada y producir resultados reproducibles.
Clasificación y conocimiento del cliente
No todas las relaciones presentan la misma exposición. La información obtenida debe permitir asignar un grado de riesgo, construir un perfil y aplicar medidas proporcionales, incluidas revisiones reforzadas cuando corresponda.
Beneficiario controlador
La revisión no puede detenerse en la persona que firma. La empresa debe identificar y documentar a las personas físicas que en última instancia se benefician o ejercen control.
Políticas, responsables y capacitación
Un manual sin responsables ni comportamiento operativo es insuficiente. Las políticas deben traducirse en decisiones, escalamiento, capacitación y evidencia de aplicación.
Monitoreo, mecanismos y auditoría
La gestión requiere observar operaciones, detectar desviaciones, mantener información actualizada y verificar si los controles funcionan. Las herramientas pueden variar según tamaño y complejidad, pero el resultado debe ser verificable.
Prepararse no significa sobredimensionar el sistema
La solución puede apoyarse en herramientas proporcionales al volumen y complejidad de la operación, siempre que los criterios, alertas, decisiones y evidencias sean consistentes. El propio Acuerdo contempla mecanismos que pueden ir desde sistemas especializados hasta procesos automatizados apoyados en hojas de cálculo o bases de datos, si cumplen las funciones previstas y son verificables.
El trabajo inmediato consiste en mapear información disponible, detectar brechas y asignar responsables. Comprar tecnología antes de diseñar la metodología puede automatizar un proceso que todavía no está definido.
El modelo debe ser proporcional, pero no improvisado
La dirección debe definir apetito de riesgo, responsables, presupuesto, herramientas, escalamiento y evidencia. El área de cumplimiento no puede operar aislada de ventas, finanzas, legal y administración.
Ruta de implementación
- Confirmar actividades, supuestos y obligaciones aplicables.
- Mapear clientes, transacciones, países, canales y terceros.
- Diseñar metodología y criterios de clasificación.
- Actualizar expedientes y beneficiarios controladores.
- Definir controles, alertas y rutas de escalamiento.
- Asignar responsables y capacitar a las áreas involucradas.
- Implementar monitoreo y conservar evidencia.
- Probar el sistema y corregir brechas.
El riesgo de tratarlo como una actualización de formatos
Si la empresa cambia formularios sin cambiar decisiones, el expediente puede parecer completo y el riesgo permanecer intacto. La diferencia está en poder explicar por qué un cliente fue clasificado, qué control se aplicó, quién revisó una alerta y qué evidencia demuestra el proceso.
Conclusión
El nuevo estándar desplaza el centro del cumplimiento: del documento aislado a un sistema que identifica, entiende y mitiga riesgos. Para la dirección, esto exige gobierno, información y disciplina operativa; también ofrece una oportunidad para conocer mejor clientes, transacciones y exposiciones críticas.
Fuentes oficiales de referencia
- Diario Oficial de la Federación — Acuerdo 115/2026 que modifica las Reglas de la LFPIORPI
- SAT — Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita
Referencias y calendario revisados el 11 de septiembre de 2026.
Este análisis es informativo. La aplicación de obligaciones depende de la actividad, operación, montos y circunstancias de cada sujeto.