Lo que el Acuerdo 115/2026 exige realmente a quienes realizan Actividades Vulnerables
Durante años, el cumplimiento en materia de prevención de lavado de dinero en México pudo resumirse en una lógica de casillas: se identificaba al cliente, se llenaba el expediente, se presentaba el aviso correspondiente y el sujeto obligado podía darse por satisfecho. El Acuerdo 115/2026, que modifica las Reglas de Carácter General de la LFPIORPI, cierra esa era. La pregunta que ahora deben responder los Representantes de Cumplimiento ya no es "¿tengo el documento?", sino "¿puedo demostrar, con metodología y evidencia, que entiendo y administro mi riesgo?". Es un cambio de paradigma, no un ajuste cosmético, y conviene decirlo con esa claridad desde el primer párrafo.
El corazón de la reforma es la incorporación obligatoria del Enfoque Basado en Riesgos como capítulo propio dentro de las Reglas. Ya no basta con aplicar el mismo nivel de debida diligencia a todos los clientes; cada entidad deberá diseñar una metodología que identifique, mida y mitigue sus vulnerabilidades particulares, tomando como referencia obligada la Evaluación Nacional de Riesgos de la UIF. En la práctica, esto convierte al oficial de cumplimiento en algo más parecido a un gestor de riesgo actuarial que a un archivista de expedientes.
Vale la pena subrayar un matiz que suele pasarse por alto en las lecturas apresuradas de la norma: la autoridad no se limita a pedir que exista una metodología, sino que se reserva la facultad de ordenar ajustes a esa metodología cuando considere que la administración de riesgos es deficiente. Eso traslada una parte del criterio de aceptación de clientes fuera de la entidad y hacia el propio SAT, algo que cambia sensiblemente el margen de autonomía con el que las áreas de cumplimiento venían operando.
El diagnóstico ya no es un ejercicio interno y opcional: es un insumo que la autoridad puede revisar, cuestionar y, en su caso, corregir.
La segunda gran línea de la reforma endurece la identificación del beneficiario controlador mediante un orden de prelación explícito: primero la persona física con 25% o más del capital, después quien ejerce control por otros medios, y solo en última instancia el funcionario de mayor jerarquía. Esta secuencia obligatoria elimina la práctica, hasta ahora relativamente común, de "resolver" la identificación del beneficiario controlador señalando directamente al director general cuando la estructura accionaria resultaba compleja de rastrear.
Para fideicomisos, la exigencia es aún más severa: si los fideicomitentes o fideicomisarios son personas morales, la entidad está obligada a ascender en la cadena de titularidad hasta llegar a una persona física identificable. En estructuras multinivel o con vehículos en el extranjero, este requisito puede representar semanas adicionales de trabajo documental, y es previsible que se convierta en uno de los puntos de mayor fricción operativa durante la transición.
El Acuerdo formaliza dos figuras dentro del universo de activos virtuales: la custodia o administración de activos por cuenta del cliente, y la facilitación o intermediación mediante plataformas que conectan operaciones de compra-venta. Ambas quedan sujetas a una lógica de umbrales para la presentación de avisos —210 UMAs por el monto de la operación, 4 UMAs por la comisión cobrada— con la previsión, razonable en términos de carga administrativa, de que si ambos supuestos se actualizan simultáneamente basta un solo aviso referido al monto de la operación.
Es un paso consistente con la tendencia internacional de cerrar el hueco regulatorio en torno a los proveedores de servicios de activos virtuales, aunque quedará por verse si los umbrales resultan operativamente claros para plataformas cuyo volumen transaccional se mide en fracciones de criptoactivo y no en montos redondos de moneda fiduciaria.
Quizá el cambio con mayor efecto disciplinario de largo plazo sea la vinculación directa entre el grado de riesgo de la entidad y el perfil obligatorio del auditor. Una entidad de riesgo bajo o medio puede resolver su auditoría anual con control interno; una de riesgo alto está obligada —o al menos fuertemente orientada— a contratar un auditor externo independiente, con mínimo tres años de experiencia en PLD y certificación vigente de la UIF, sin haber prestado servicios previos a la entidad durante el periodo auditado.
Esta arquitectura busca cerrar el conflicto de interés estructural que representa auditar el propio trabajo. También introduce, de facto, un nuevo mercado de servicios profesionales especializados: el de auditores certificados en PLD con independencia demostrable, un perfil que hasta ahora era escaso incluso entre firmas de cumplimiento consolidadas.
El mensaje de fondo es claro: la autoridad ya no confía en la autoevaluación como prueba suficiente de cumplimiento.
El Acuerdo entra en vigor el 30 de noviembre de 2026, pero el plazo relevante para la mayoría de las entidades es más corto: 90 días naturales a partir de su alta y registro para tener actualizado el Manual de Políticas Internas. A ello se suma la exigencia de revisar la base histórica de clientes de los últimos doce meses bajo la nueva metodología de riesgo, un ejercicio que en carteras grandes no es trivial y que difícilmente puede improvisarse en las últimas semanas del plazo.
La recomendación editorial es sencilla de enunciar y exigente de ejecutar: iniciar ya un diagnóstico de brechas (gap analysis) que compare el estado actual del programa de cumplimiento contra los nuevos requisitos de EBR, beneficiario controlador y auditoría, y usar ese diagnóstico para decidir, con tiempo, si la entidad deberá incorporar a un auditor externo certificado antes del cierre del ejercicio 2027. Quien espere a los últimos noventa días para hacer ese ejercicio probablemente los pasará corrigiendo, no cumpliendo.
Este artículo ofrece un análisis editorial con fines informativos y no constituye asesoría legal. Se recomienda contrastar cada obligación con el texto vigente del Acuerdo 115/2026 y sus anexos antes de tomar decisiones de cumplimiento.
-C.P.C. Silvia Matus de la Cruz, Especialista en Prevención de Lavado de Dinero
Para no perderte las últimas novedades y consejos prácticos en temas legales, fiscales y administrativos.
