El Acuerdo 115/2026 redefine el modelo de prevención de lavado de dinero para quienes realizan Actividades Vulnerables mediante nuevas obligaciones en materia de evaluación de riesgos, conocimientos del cliente, beneficiario controlador, activos virtuales y auditorías.
El 7 de agosto de 2026, el Diario Oficial de la Federación público el Acuerdo 115/2026, mediante el cual se modifican diversas disposiciones de las reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).
Aunque la entrada en vigor ocurrirá el 30 de noviembre de 2026, el cumplimiento se implementará de forma escalonada durante 2027 y 2028. Más allá del calendario, la reforma representa un cambio significativo, ya que el cumplimiento deja de concentrarse en la integración de expedientes y pasa a convertirse en un sistema preventivo de riesgos donde existe una mayor participación del gobierno corporativo, auditoría y controles internos.
I. Enfoque Basado en Riesgos.
Uno de los cambios más relevantes para los sujetos que realizan Actividades Vulnerables, es la obligación de diseñar e implementar una metodología formal de evaluación de riesgos que debe considerar: los actos u operaciones realizados, el tipo de clientes o personas usuarias, los países y áreas geográficas involucradas, los canales de envío o prestación del servicio, y los factores de riesgo identificados en la Evaluación Nacional de Riesgos.
Esta metodología deberá establecer indicadores específicos para cada elemento del riesgo, asignarles una valoración consistente, reconocer controles mitigantes e incorporar indicadores vinculados con los delitos de financiamiento al terrorismo y aquellos relacionados a las operaciones con recursos de procedencia ilícita.
Las nuevas reglas exigen que la evaluación se construya con información correspondiente a un periodo mínimo de doce meses. Además, la metodología deberá revisarse en caso de la identificación de nuevos riesgos, actualización de la Evaluación Nacional de Riesgos o contar con resultados de su implementación a los doce meses siguientes. Toda la documentación deberá conservarse durante 10 años.
Se debe tener en consideración que el Servicio de Administración Tributaria queda expresamente facultada para revisar la metodología, ordenar ajustes y solicitar la implementación de medidas reforzadas mediante planes de acción específicos.
II. Clasificación de riesgo, conocimiento del cliente y perfil transaccional.
A partir de marzo de 2027, cada cliente deberá clasificarse de la siguiente manera: riesgo bajo, riesgo medio o riesgo alto. Esta clasificación debe ser coherente con la metodología de riesgos y quedar documentada dentro del Manual de Políticas Internas. A su vez deberá ser actualizada como mínimo cada 6 meses. La evaluación deberá considerar factores inherentes al cliente como elementos relacionados a su comportamiento transaccional.
Como parte de las obligaciones se deberá construir un perfil transaccional, en el cual, durante los primeros seis meses de la relación comercial, el cliente deberá proporcionar información sobre los montos máximos mensuales estimados de operación. Con base en ello, la organización deberá implementar un sistema de alertas capaz de detectar desviaciones respecto del comportamiento esperado.
Cuando un cliente sea clasificado como de alto riesgo, se podrán requerir: cuestionarios sobre su origen y destino de recursos; información del cónyuge y dependientes económicos; y la verificación de accionistas contra registro electrónicos de la Secretaría de Economía.
III. Personas Políticamente Expuestas y Beneficiario Controlador.
Las reglas amplían el universo de personas sujetas a revisión al extenderlo al cónyuge, concubina o concubinario, familiares hasta segundo grado por consanguinidad o afinidad, y socios con vinculados patrimoniales. Esta calidad de persona políticamente expuesta continuará durante el año siguiente a la separación del cargo.
Esta información podrá ser consultada mediante la plataforma “Consulta PEP 2.0”, utilizando la firma electrónica avanzada registrada por el sujeto obligado. Su disponibilidad está prevista aproximadamente para agosto de 2027.
Para el caso del beneficiario controlador se establece un orden de prelación más claro para su identificación: persona física con 25% o más de participación directa o indirecta; quien ejerza control por otros medios y; la persona que ocupe la posición de alta dirección. La identificación deberá realizarse antes del acto u operación, a más tardar, al iniciar la relación de negocios.
IV. Activos virtuales.
Las nuevas reglas precisan el contenido mínimo de la información que deberá conservarse sobre: el originante, receptor, beneficiario controlador, tipo de activo, monto, equivalente en moneda nacional, fecha y hora y, comisión cobrada. Toda esta información deberá conservarse durante 10 años.
La reforma amplia el alcance regulatorio al definir que existe facilitación o intermediación incluso cuando quien presta la infraestructura tecnológica no mantenga el control de los activos virtuales. Esto puede implicar nuevas obligaciones para plataformas tecnológicas que anteriormente consideraban que su participación quedaba fuera del régimen aplicable.
V. Avisos e Informes.
Se deberá presentar un aviso por cada acto u operación que alcance el umbral correspondiente, ya sea individualmente o por acumulación. A su vez se desarrollan dos figuras las cuales son: avisos por sospecha y aviso por hechos o indicios. Ambos deberán presentarse dentro de las 24 horas siguientes a la detección de la conducta correspondiente.
Asimismo, podrá presentarse el aviso incluso cuando no se alcance el umbral económico, la operación no llegue a celebrarse o existan datos suficientes para identificar a quien intento realizarla. No obstante, estos avisos comenzarán a operar una vez que se publiquen los nuevos formatos oficiales correspondientes.
VI. Manual de Políticas Internas, capacitación y mecanismos automatizados.
El manual deberá elaborarse dentro de los 90 días naturales posteriores al alta y registro e incluir catorce apartados relacionados con: la metodología de riesgo, clasificación de clientes, PEP, beneficiario controlador, monitoreo, avisos, controles internos, auditoria, confidencialidad y su actualización permanente. De igual forma el SAT podrá ordenar modificaciones cuando considere que su contenido resulte insuficiente.
Sobre la capacitación, el primer periodo anual comprenderá del 1 de enero al 31 de diciembre de 2027. Esta formación deberá dirigirse al órgano de administración, directivos, el Compliance Officer y el personal relevante. Asimismo, deberá ser impartido por personas con al menos 5 años de experiencia, incluir evaluaciones y conservar evidencia documental durante 10 años.
Los mecanismos automatizados deberán ser implementados a más tardar el 1° de junio de 2027. Estos mecanismos deben ser capaces de consultar expedientes, consolidar operaciones, ejecutar modelos de riesgos y generar alertas.
VII. Auditoria anual.
Cada revisión abarcará del 1 de enero al 31 de diciembre y deberá presentarse posteriormente al consejo de administración, administrador único o dirección general. La auditoría será interna o externa según el riesgo, para el nivel de riesgo bajo o medio será una auditoria interna, por otro lado, cuando exista un riesgo alto deberá hacerse por medio de un auditor externo certificado. Para aquellos auditores externos se les solicita que cuenten con título y cedula profesional, experiencia mínima de 3 años y una certificación vigente de la UIF.
El dictamen deberá incluir hallazgos, responsables, acciones correctivas, plazos, estimaciones económicas de multas y un seguimiento al dictamen anterior. Esta documentación deberá conservarse durante 5 años.
VIII. Alta, registro y notificaciones electrónicas.
Las personas morales deberán utilizar la Firma Electrónica Avanzada vinculada a su propia RFC, sin poder utilizar la del representante legal.
A su vez se establece que los sujetos obligados deberán consultar el portal al menos una vez cada día hábil; abrir los documentos pendientes dentro de los 3 días hábiles y considerar realizada la notificación al cuarto día hábil.
IX. Calendario de implementación
| Fecha | Obligación |
| 30 de noviembre de 2026 | Entra en vigor del Acuerdo 115/2026 |
| 1° de enero de 2027 | Inicia el primer periodo anual de capacitación. |
| 1 de marzo de 2027 | Procedimiento de identificación del Beneficiario Controlador. Evaluación inicial de riesgos. Manual PLD. |
| 30 de mayo de 2027 | Actualización de proveedores de servicios de activos virtuales |
| 1° de junio de 2027 | Mecanismos automatizados. |
| 30 de agosto de 2027 | Disponibilidad de la Consulta PEP 2.0 |
| 31 de diciembre de 2027 | Conclusión del primer periodo anual de capacitación. |
| 1° de enero de 2028 | Inicio del primer periodo anual de auditoría. |
| 31 de diciembre de 2028 | Conclusión del primer periodo de auditoria. |
| Marzo de 2029 | Fecha límite para entregar el primer dictamen de auditoría. |
X. ¿Qué deben hacer las organizaciones desde ahora?
Aunque algunas obligaciones tendrán una entrada en vigor diferida, el cumplimiento de las nuevas reglas requiere tiempo para recopilar información, modificar procesos, capacitar a las personas e implementar soluciones tecnológicas.
Por ello, las organizaciones que realicen actividades vulnerables deberán considerar lo siguiente:
- Realizar un diagnóstico de brechas. Comparar sus políticas y procedimientos actuales con las nuevas obligaciones para identificar que se debe modificar o crear.
- Diseñar la metodología de riesgos.
- Revisar los expedientes de clientes. Será necesario determinar si contienen la información suficiente para realizar la clasificación del riesgo, integrar el perfil transaccional e identificar al beneficiario controlador.
- Actualizar el manual de políticas internas. El manual debe establecer nuevos procesos adecuados a su objeto y no solo reproducir la normativa.
- Evaluar las herramientas tecnológicas. Se deberá determinar si los sistemas existentes permiten realizar el monitoreo, alertas y conservación de información.
- Preparar un programa anual de capacitación. La capacitación deberá documentarse y formar parte de la evidencia del cumplimiento.
- Prepararse para la auditoria. Definir con anticipación si la auditoria será interna o externa.
XI. Disposiciones Finales
El Acuerdo 115/2026 representa un cambio significativo en el régimen de prevención de lavado de dinero en México. Más que una actualización de carácter documental, las reglas de carácter general plantean una transformación en que los sujetos obligados identificaran, evaluaran, monitorearan y gestionaran sus riesgos.
El elemento central de esta transformación es el Enfoque Basado en Riesgos, que deberá permear desde la identificación del cliente y la determinación del beneficiario controlador, hasta el monitoreo de operaciones, la capacitación del personal, los controles internos y la auditoria anual.
Por ello, el verdadero reto para las organizaciones no será únicamente cumplir con las fechas establecidas, sino demostrar que cuentan con un sistema de cumplimiento sólido, documentado y efectivamente implementado, capaz de responder a las nuevas exigencias regulatorias.
En Mirai Abogados acompañamos a las organizaciones en la implementación de estas obligaciones mediante la elaboración de la metodología de evaluación de riesgos, el manual de políticas internas, así como la preparación del dictamen anual de auditoria.
Fuentes: DOF – Diario Oficial de la Federación. Acuerdo por el que se modifican las Reglas de carácter general a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. (7 de agosto de 2026). Gob.mx. Recuperado el 31 de agosto de 2026, de https://dof.gob.mx/nota_detalle.php?codigo=5795797&fecha=07/08/2026. Pérez Alcalde, M. (11 de agosto de 2026). Reforma Integral a las Reglas de Carácter General de la LFPIORPI. Mirai Noticias. Recuperado el 29 de agosto de 2026, de: https://mirainoticias.legal/wp-content/uploads/2026/08/CA-Reglas-de-Caracter-General-LFPIORPI-2.pdf. Apáez Dávila E, (17 de agosto de 2026) México actualiza el régimen de prevención de lavado de dinero aplicable a actividades y profesiones no financieras. LinkedIn. Recuperado el 29 de agosto de 2026, de: https://www.linkedin.com/feed/update/urn:li:activity:7493033106178748416/. Quiroz-Chavez, OA, Lascurain, A., Azcárraga, R., & Reza, MK (s/f). Nuevas reglas de carácter general de la ley antilavado en México. Hklaw.com. Recuperado el 29 de agosto de 2026, de https://www.hklaw.com/en/insights/publications/2026/08/nuevas-reglas-de-caracter-general-de-la-ley-antilavado-en-mexico
Redactores MIRAI
Deja un comentario