.jpg)
El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (la Ley Antilavado).
Para dimensionar lo que significa, conviene un dato: estas reglas se habían publicado en 2013 y, en más de una década, solo habían recibido ajustes menores en 2014 y 2020. Lo del 7 de agosto no es un ajuste más. Es un cambio de generación.
La reforma reordena por completo el régimen aplicable a quienes realizan Actividades Vulnerables, incorpora catorce nuevos capítulos y mueve el eje del sistema: deja atrás el cumplimiento formal (llenar formatos, presentar avisos) y lo sustituye por la administración efectiva del riesgo. En términos prácticos, para cualquier empresa que deba cumplir con la Ley Antilavado, la pregunta cambió de "¿presenté mis avisos?" a "¿realmente conozco el riesgo de cada cliente con el que opero?".
La Ley Antilavado (LFPIORPI) obliga a quienes realizan ciertas Actividades Vulnerables (desde inmobiliarias, casas de empeño y comercializadoras de vehículos, hasta prestadores de servicios profesionales, entre muchas otras) a identificar a sus clientes, conservar expedientes y presentar avisos a la autoridad. Las Reglas de Carácter General son el cuerpo normativo que detalla cómo cumplir esas obligaciones en la operación diaria.
El Acuerdo 115/2026 es la actualización más profunda de esas reglas desde su origen, y busca alinear a México con los estándares del Grupo de Acción Financiera Internacional (GAFI) en el segmento que históricamente ha sido el más débil del sistema: las actividades y profesiones no financieras. En los hechos, estas reglas son la pieza que faltaba: aterrizan a nivel operativo las obligaciones del artículo 18 de la Ley que la reforma de julio de 2025 había dejado pendientes de reglamentar.
El corazón de la reforma es el enfoque basado en riesgos. Hasta ahora, muchos sujetos obligados cumplían de forma binaria: o presentabas el aviso o no lo presentabas.
La nueva lógica es distinta. Cada empresa deberá diseñar e implementar su propia metodología de evaluación de riesgos, que abarque sus operaciones, sus clientes, sus transacciones y sus canales, asignando valores y ponderando los controles que ya tiene.
Esa evaluación debe revisarse al menos cada doce meses (o antes, si aparecen nuevos riesgos) y la documentación conservarse durante diez años. La autoridad, además, puede señalar ajustes y pedir planes de acción reforzados. Se sustituye el modelo de "cumple / no cumple" por uno de mejora continua supervisada.
Para una empresa, esto significa que ya no basta con tener el expediente lleno. Hay que poder demostrar que se entiende el riesgo de cada relación comercial y que se actúa en consecuencia.
Es una de las consecuencias más concretas de la reforma, y la que más impacta la operación diaria. Las reglas obligan a clasificar a cada cliente en, al menos, tres grados de riesgo (bajo, medio y alto) y a aplicar un nivel de escrutinio proporcional a esa clasificación:
Para clasificar bien a un cliente hay que mirar tanto sus características inherentes (giro, antecedentes, nacionalidad, residencia, fuentes de ingreso, propósito de la relación) como su comportamiento transaccional (tipo, volumen, frecuencia, contrapartes, origen y destino de los recursos). Y esa clasificación debe revisarse periódicamente: cuanto mayor es el riesgo asignado, con más frecuencia.
En otras palabras: identificar a un cliente ya no es pedirle una identificación y archivarla. Es construir un perfil de riesgo, sostenerlo con información verificable y mantenerlo actualizado.
La reforma introduce formalmente la figura del perfil transaccional y la obligación de contar con un sistema de alertas capaz de detectar desviaciones respecto de ese perfil. Es, quizá, la pieza que más se acerca a un verdadero monitoreo continuo dentro de este segmento.
La idea es sencilla de enunciar y exigente de cumplir: si conoces el comportamiento esperado de un cliente, cualquier operación que se salga de ese patrón debería generar una alerta. Para que eso funcione, primero necesitas haber construido bien ese perfil (con información real sobre quién es el cliente y cómo opera), y mantenerlo vivo. Un perfil mal construido genera alertas inútiles o, peor, no genera las que debería.
Este es uno de los puntos que más afecta a quien opera con personas morales o estructuras jurídicas. La reforma ordena, por fin, cómo identificar al beneficiario controlador (la persona física que, en última instancia, controla o se beneficia de una empresa) con un orden de prelación claro: primero, quien tenga participación directa o indirecta del 25% o más; luego, quien ejerza el control por otros medios vinculados a la dirección y estrategia; y, en última instancia, el funcionario de mayor jerarquía.
Para fideicomisos y figuras como la asociación en participación, el criterio es aún más amplio: hay que ascender por toda la cadena de titularidad hasta llegar a la persona física que ejerce el control efectivo. Se crea, además, un régimen de alta y registro con captura estructurada de datos, alineado con las Recomendaciones 24 y 25 del GAFI.
Conviene no confundir dos obligaciones distintas. Una cosa es identificar al beneficiario controlador de tus clientes o usuarios cuando realizas una Actividad Vulnerable (de eso trata esta reforma).
Otra, distinta, es la obligación corporativa que tiene toda sociedad mercantil de identificar y registrar a su propio beneficiario controlador ante el sistema de la Secretaría de Economía (artículos 33 Bis y 33 Ter de la Ley). El Acuerdo del 7 de agosto regula la primera; no sustituye ni elimina la segunda.
La implicación es directa: ya no basta con identificar a la empresa con la que operas. Tienes que saber quién está realmente detrás de ella. Y eso, tratándose de estructuras con varias capas societarias, no es un dato que se obtenga con una simple solicitud al cliente.
Aquí está una de las virtudes de la reforma: la gradualidad. El Acuerdo entra en vigor el 30 de noviembre de 2026, pero las obligaciones más exigentes están escalonadas:
Ese horizonte es una ventaja de planeación, pero también una advertencia: construir un modelo de evaluación de riesgos, clasificar toda la cartera de clientes y armar perfiles transaccionales sólidos no se hace en una semana.
Las empresas que empiecen a prepararse en 2026 llegarán a los plazos con margen; las que esperen, lo harán contra reloj.
Todo. Si se lee con atención, la reforma completa gira alrededor de una sola capacidad: conocer de verdad a la contraparte. La metodología de riesgos exige entender a quién tienes enfrente. La debida diligencia diferenciada exige clasificarlo con información confiable.
El beneficiario controlador exige ver más allá de la fachada societaria. El perfil transaccional exige saber qué es "normal" para ese cliente. Y la auditoría anual exige poder demostrar, con evidencia documental conservada por diez años, que todo lo anterior se hizo bien.
El problema operativo es que buena parte de esa información (situación jurídica, presencia en listas de personas políticamente expuestas, coincidencias con listas de sanciones nacionales e internacionales, estructura societaria, comportamiento fiscal) no vive en un solo lugar. Está dispersa en decenas de fuentes oficiales, cada una con su propio formato y proceso de consulta.
Reunirla y cruzarla cliente por cliente, y mantenerla actualizada al ritmo que exigen las nuevas reglas, es precisamente lo que vuelve inviable el cumplimiento manual para cualquier cartera de tamaño relevante.
La reforma no pide más papeleo. Pide más conocimiento verificable sobre cada contraparte. Y ese conocimiento tiene que poder sostenerse frente a una auditoría.
¿A quién obligan estas nuevas reglas? A quienes realizan Actividades Vulnerables en términos de la Ley Antilavado. La reforma no cambia quiénes son sujetos obligados, pero sí eleva de manera importante el nivel de exigencia sobre cómo deben identificar y monitorear a sus clientes.
¿Qué significa "enfoque basado en riesgos" en la práctica? Que ya no se cumple de forma uniforme para todos los clientes. Cada empresa debe evaluar el riesgo de cada relación y aplicar un nivel de escrutinio proporcional: más ligero para el riesgo bajo, reforzado para el alto.
¿Por qué el beneficiario controlador es tan relevante ahora? Porque la reforma fija reglas claras para identificarlo y obliga a rastrear la cadena de control hasta la persona física real. Operar con una empresa sin saber quién está detrás deja de ser aceptable.
¿Cuándo debo empezar a prepararme? Aunque las obligaciones más exigentes aplican desde marzo de 2027, la construcción de la metodología de riesgos, la clasificación de clientes y los sistemas de monitoreo toma tiempo. Empezar en 2026 es lo razonable.
¿Qué sanciones hay por incumplir? El régimen sancionador contempla multas de 200 a 2,000 UMA por cada obligación del artículo 18 de la Ley que se incumpla, y en los supuestos más graves puede alcanzar hasta 65,000 UMA. Al calcularse por cada obligación incumplida, el costo de un cumplimiento deficiente puede escalar con rapidez.
¿Esto sustituye la asesoría de un especialista en prevención de lavado? No. Este contenido es informativo. El diseño de la metodología de riesgos, el Manual de Políticas y el modelo de cumplimiento debe hacerse con el acompañamiento de un especialista en la materia.
Las nuevas Reglas de la Ley Antilavado marcan el paso de un régimen de trámites a uno de gestión real del riesgo. El eje ya no es presentar avisos, sino demostrar que se conoce (de forma profunda, verificable y actualizada) a cada cliente y contraparte con la que se opera. Identificar al beneficiario controlador, clasificar el riesgo, construir perfiles transaccionales y sostener todo ante una auditoría anual son, en el fondo, distintas caras de la misma capacidad.
La información que exige el nuevo régimen ya existe en fuentes oficiales. El reto, como casi siempre, es reunirla, cruzarla y mantenerla al día al ritmo que la norma impone. Automatizar esa identificación y ese monitoreo es lo que permite cumplir sin convertir el proceso en una carga inmanejable y, sobre todo, poder demostrarlo cuando la autoridad lo pregunte.
ekatena reconstruye la situación jurídica, fiscal y societaria de una empresa a partir de más de 7,000 fuentes oficiales, incluyendo estructura de accionistas, personas políticamente expuestas, listas de sanciones nacionales e internacionales y situación judicial para apoyar los procesos de identificación y debida diligencia de contrapartes que hoy exige la normatividad.
.avif)
.svg)