La reforma antilavado publicada el 16 de julio de 2025 modificó de forma relevante el cumplimiento de quienes realizan actividades vulnerables. El 27 de marzo de 2026 se reformó el Reglamento de la LFPIORPI; esa publicación no fue una modificación de las Reglas de carácter general. Varias obligaciones nuevas del artículo 18, fracciones VII a XI —entre ellas enfoque basado en riesgo, capacitación, monitoreo y auditoría— entrarán en vigor en las fechas que establezcan dichas Reglas. Por ello, cada empresa debe distinguir entre obligaciones ya exigibles, deberes cuya instrumentación sigue pendiente y medidas de preparación interna. Esta guía es general y no reemplaza la clasificación jurídica de cada operación.
Primero: determinar si existe actividad vulnerable
La LFPIORPI enumera actividades como ciertos juegos y sorteos, tarjetas, préstamos no financieros, construcción o desarrollo inmobiliario, comercialización de inmuebles, metales y joyas, vehículos, obras de arte, activos virtuales, servicios profesionales y fe pública, entre otras. Cada supuesto tiene reglas y, con frecuencia, umbrales de identificación o aviso expresados en UMA. El análisis debe considerar la operación real, no sólo el objeto social o la actividad fiscal. También debe acumular actos con una misma persona cuando la ley y las reglas lo exijan. Si existe actividad vulnerable, corresponde revisar alta, representante, expedientes, medios de pago restringidos y calendario de avisos en el portal especializado.
El programa de cumplimiento se amplió
La reforma incorporó deberes de evaluación de riesgos, políticas internas, selección de personal, capacitación anual, mecanismos automatizados de monitoreo, seguimiento reforzado de personas políticamente expuestas o de alto riesgo y auditoría interna o externa según corresponda. El Segundo transitorio identifica 2026 como primer periodo anual, pero el Tercero transitorio dispone que las obligaciones del artículo 18, fracciones VII a XI, entrarán en vigor en los plazos que establezcan las Reglas de carácter general. Por ello, la referencia a 2026 no debe presentarse como exigibilidad automática mientras dichas reglas no hayan fijado esos plazos. Distinto es el plazo de conservación de diez años, aplicable a los actos u operaciones realizados desde el 17 de julio de 2025. Mientras se publican y verifican las reglas aplicables, la empresa puede preparar metodología, responsables, datos y controles, sin presentar como vigente una obligación diferida.
Avisos ordinarios y alertas de 24 horas
Los avisos ordinarios se presentan, en general, a más tardar el día 17 del mes siguiente a la operación que los origina. La reforma legal añadió un aviso dentro de las 24 horas cuando existan hechos o indicios de posible vinculación con operaciones ilícitas, incluso si el acto u operación no se celebró. El artículo 7 Bis del Reglamento reformado prevé reportar el intento con los datos disponibles que identifiquen a la persona; no obstante, su artículo Quinto transitorio condicionó esa modalidad a la actualización de los formatos oficiales. Antes de operar el supuesto ampliado debe verificarse que esos formatos ya estén vigentes, sin dejar de atender los avisos de 24 horas exigibles conforme a las reglas actuales. El expediente debe registrar identificación, análisis, decisión, presentación, acuse y seguimiento, sin informar indebidamente al cliente.
Puntos clave
- La clasificación depende de la operación real, los umbrales y la acumulación, no sólo del giro declarado.
- El decreto ubica en 2026 el primer periodo anual, pero la exigibilidad de las obligaciones del artículo 18, fracciones VII a XI, depende de los plazos que establezcan las Reglas de carácter general.
- La documentación de clientes y operaciones debe conservarse durante diez años.
- El aviso ampliado de 24 horas para intentos no consumados requiere verificar la vigencia de los formatos oficiales previstos por el Reglamento.
Qué conviene revisar
- Actualizar la matriz de actividades vulnerables, umbrales, acumulación y restricciones de efectivo.
- Preparar evaluación de riesgo, manual, capacitación, monitoreo y auditoría, y verificar en las Reglas vigentes cuáles obligaciones ya son exigibles.
- Implantar un protocolo confidencial de alertas y confirmar que los formatos oficiales permitan presentar el aviso ampliado de 24 horas.