.jpg)
La reforma de julio de 2025 a la LFPIORPI le dio a la autoridad 12 meses para publicar cómo se hace la evaluación de riesgos. El plazo se cumple ahora. Las reglas no existen. Esto es lo que sí sabemos y lo que puedes hacer mientras tanto.
El 16 de julio de 2025 se publicó en el Diario Oficial una de las reformas más importantes que ha tenido la ley antilavado mexicana desde 2012. Entre otras cosas, obligó a todas las personas y empresas que realizan actividades vulnerables a tener una metodología formal de evaluación de riesgos, no solo a la banca, como era antes. La misma reforma le dio a la Secretaría de Hacienda 12 meses para publicar las reglas que explican exactamente cómo se hace esa metodología. Ese plazo se cumple este mes. Las reglas siguen sin aparecer.
Qué dice la ley, con precisión
La fracción VII del artículo 18 de la LFPIORPI es la que obliga a "llevar a cabo una evaluación con enfoque basado en riesgos" que permita identificar, analizar y mitigar el riesgo propio y el de cada cliente.
Antes de la reforma, esto solo aplicaba a entidades financieras. Ahora aplica también a quien haga cualquiera de las actividades vulnerables que marca el artículo 17, desde desarrollo inmobiliario hasta compraventa de vehículos, joyas, tarjetas prepagadas y varias más.
Aquí está el punto que casi nadie explica bien: las propias disposiciones transitorias de la reforma dicen que esta obligación (junto con el manual de cumplimiento, la capacitación, los sistemas automatizados y la auditoría anual) entra en vigor en los plazos que establezcan las reglas de carácter general es decir, la ley existe, pero su aplicación operativa depende de un documento que todavía no se publica.
Mientras tanto, otras partes de la misma reforma sí están vigentes desde julio de 2025 sin condición: el umbral de beneficiario controlador bajó de 50% a 25%, y el plazo de conservación de documentos subió de 5 a 10 años.
En otras palabras: no es que "ya debiste haber cumplido y no lo hiciste". Es que la ley te puso en una zona donde la obligación existe en el papel, pero nadie, ni la autoridad, ha terminado de definir cómo se ejecuta ni cuándo empieza a exigirse formalmente.
Por qué esto no es motivo para relajarse
El vacío en las reglas no significa que la vigilancia esté pausada. El SAT confirmó en junio que el padrón nacional de sujetos obligados ya supera los 218 mil registros.
En marzo, publicó 176 contribuyentes más en el listado definitivo del artículo 69-B. Y la UIF y la CNBV mantienen, aparte, un alertamiento activo por el Mundial hasta agosto, pidiendo debida diligencia reforzada en las sedes.
Tampoco ayuda ignorarlo por costo: el incumplimiento de las obligaciones del artículo 18 se sanciona con multas de entre 200 y 2,000 UMA por cada infracción con el valor de la UMA 2026, entre 23 mil y poco más de 234 mil pesos, por obligación, no por caso.
Qué sí puedes hacer ahora, sin esperar la regla oficial
No tener el documento final no es excusa para no avanzar. Hay pasos concretos, con lo que ya existe hoy:
Vale la pena aclarar algo más: este vacío no es exclusivo de instituciones financieras grandes. Alcanza también a arrendadoras, empresas de factoraje, desarrolladores inmobiliarios y cualquier negocio que caiga dentro del catálogo de actividades vulnerables del artículo 17 muchos de los cuales, hasta antes de 2025, nunca habían tenido que pensar en una metodología formal de riesgo.
Para ese universo, la pregunta no es solo "¿cómo hago esto bien?", sino "¿por dónde empiezo?" y ahí es donde tiene más sentido apoyarse en marcos ya probados en el sector financiero, en lugar de construir algo desde cero.
Dónde encaja una herramienta de validación en todo esto
Construir la matriz de riesgo es solo la mitad del trabajo. La otra mitad es alimentarla con datos reales sobre cada cliente, y sostener esa evaluación con evidencia cuando alguien la revise.
Ahí es donde entra un reporte como el que genera ekatena: cruza al cliente contra beneficiario controlador (UBO), PEPs, listas negras nacionales e internacionales, situación jurídica y fiscal, en un solo lugar y con fecha de consulta.
No sustituye la metodología que tienes que diseñar, pero sí da la materia prima para calificar el riesgo de cada cliente con datos verificables, y el respaldo descargable que se necesita el día que un auditor pregunte con qué información se tomó esa decisión.
Conoce cómo funciona haciendo clic aquí.
La conclusión
El vacío regulatorio no es una pausa. Es una ventana para que lo que hagas hoy quede bien documentado, sea consistente y sea defendible, porque cuando la regla finalmente aparezca, lo que importa no va a ser si tenías el formato perfecto, sino si puedes probar que ya estabas evaluando riesgo con criterio, de forma trazable, desde antes de que te lo pidieran.
Tener trazabilidad completa de cada verificación, quién se cotejó, contra qué fuentes, cuándo y con qué resultado, es exactamente lo que sostiene ese criterio cuando llega el momento de demostrarlo.
Es, en el fondo, lo que hace un proceso de validación de contrapartes bien estructurado.
.avif)
.svg)