Nuevas Reglas de Carácter General de la LFPIORPI: el Acuerdo 115/2026 ya puso fechas a todo

El 7 de agosto de 2026, en la edición vespertina del Diario Oficial de la Federación, se publicó el Acuerdo 115/2026 por el que se modifican las Reglas de Carácter General a que se refiere la LFPIORPI. Entra en vigor el 30 de noviembre de 2026 y es la pieza que faltaba: la que convierte en obligaciones operables las cinco fracciones del artículo 18 que llevaban en suspenso desde la reforma a la Ley de julio de 2025. Trae ocho capítulos nuevos —enfoque basado en riesgos, clasificación del grado de riesgo del cliente, conocimiento del cliente, Lista de PEP, beneficiario controlador, manual de políticas internas, capacitación y selección de personal, mecanismos automatizados y auditoría— y, sobre todo, trae un calendario transitorio con fechas exactas que llegan hasta 2028.

En apconsultores llevamos un año diciendo a nuestros clientes que la ventana de preparación era mientras no hubiera reglas. Esa ventana acaba de cerrarse: ahora hay plazos escritos. Esta guía los ordena y explica qué te obliga cada capítulo nuevo.

Dónde encaja esta pieza

Las Reglas de Carácter General se publicaron originalmente el 23 de agosto de 2013 y solo se habían tocado dos veces —en 2014 y en 2020. El Acuerdo 115/2026, firmado el 24 de julio de 2026 por el Secretario de Hacienda, es la tercera modificación y con mucho la más profunda.

Con ella se cierra la secuencia completa del nuevo régimen: la reforma a la Ley del 16 de julio de 2025 dijo qué hay que cumplir, la reforma al Reglamento del 27 de marzo de 2026 dijo cómo te lo van a exigir, y estas Reglas dicen exactamente con qué contenido y para cuándo.

El calendario: las fechas que debes agendar hoy

Esto es lo primero que hay que leer del Acuerdo, porque define tu plan de trabajo de los próximos dos años:

• 30 de noviembre de 2026 — Entrada en vigor general del Acuerdo.
• 1 de marzo de 2027 — Deben estar disponibles para requerimiento: la evaluación con enfoque basado en riesgos y el Manual de Políticas Internas que incluya la metodología. A partir de los actos u operaciones de esa misma fecha aplican los capítulos de clasificación del grado de riesgo, conocimiento del cliente y beneficiario controlador. También desde entonces se aplican los procedimientos de selección a nuevas contrataciones.
• Alrededor de finales de mayo de 2027 — Seis meses desde la entrada en vigor: quienes realizan la actividad de activos virtuales deben actualizar y entregar la información del artículo 10 Bis.
• 1 de junio de 2027 — Fecha límite para contar con los mecanismos automatizados, que deberán contener la información de las operaciones realizadas a partir de esa fecha.
• Alrededor de finales de julio de 2027 — Ocho meses desde la entrada en vigor: la Secretaría debe tener operando el sistema de notificaciones electrónicas.
• Alrededor de finales de agosto de 2027 — Nueve meses desde la entrada en vigor: se habilita la consulta a la aplicación Consulta PEP 2.0.
• 1 de enero al 31 de diciembre de 2027 — Primer periodo anual de capacitación obligatoria.
• 1 de enero al 31 de diciembre de 2028 — Primer periodo de revisión de auditoría. El dictamen correspondiente se entrega a más tardar el último día hábil de marzo de 2029.
• Sin fecha fija — Los avisos por sospecha y por hechos o indicios podrán enviarse seis meses después de que entre en vigor la Resolución que modifique los formatos oficiales y prevea expresamente ese tipo de aviso.

Nótese el diseño: casi todo converge en el 1 de marzo de 2027. Ese es tu deadline real, no el 30 de noviembre.

1. Enfoque basado en riesgos: ahora tiene método obligatorio

El nuevo Capítulo II Quáter obliga a diseñar e implementar una metodología de evaluación de riesgos, no solo a tener un enfoque de riesgos. La metodología debe constar en el Manual de Políticas Internas o en documento diverso, y describir todos los procesos de identificación, análisis, entendimiento, medición y mitigación.

Los elementos mínimos que debe considerar: actos u operaciones; tipo de clientes o usuarias; países y áreas geográficas; y transacciones y canales de envío o distribución. Debe usar un método de medición que asigne valores consistentes a indicadores y elementos, e identificar los mitigantes ya implementados. Y debe incluir indicadores específicos relacionados con los delitos de los artículos 139 Quáter y 400 Bis del Código Penal Federal.

Dos requisitos que sorprenden a casi todos: la implementación debe usar información de un periodo no menor a doce meses —quien no tenga operaciones, arranca con datos proyectados y actualiza al cumplir el año— y toda la documentación generada se conserva al menos diez años. Además, hay que evaluar riesgos antes de lanzar nuevos productos, canales o modalidades, o de dirigirse a nuevos tipos de cliente.

El SAT puede revisar tu metodología, señalarte ajustes y pedirte un plan de acción con medidas reforzadas.

2. Tus clientes se clasifican en bajo, medio y alto — y se reevalúan cada seis meses

El Capítulo III Bis exige un modelo de evaluación de riesgos coherente con esa metodología para clasificar a cada cliente por grado de riesgo individual, con al menos tres niveles: bajo, medio y alto. La evaluación se repite al menos cada seis meses, y con mayor frecuencia mientras mayor sea el grado.

Los factores mínimos se agrupan en características inherentes (antecedentes, tipo de persona, giro, nacionalidad, residencia, fuentes de ingreso, naturaleza y propósito de la relación) y transaccionales (tipo, volumen, frecuencia, monto, contrapartes, origen y destino de recursos, instrumento monetario, moneda).

Hay dos categorías de riesgo alto obligatorio: las personas no residentes en México vinculadas a jurisdicciones con regímenes fiscales preferentes o señaladas por no contar con medidas suficientes de prevención, y las personas políticamente expuestas extranjeras. En esos casos hay que documentar por escrito las razones por las que celebraron la operación en territorio mexicano.

El efecto práctico en tu expediente: riesgo bajo permite medidas simplificadas; riesgo medio obliga al expediente completo del artículo 12; riesgo alto activa medidas reforzadas.

3. Conocimiento del cliente y perfil transaccional

El Capítulo III Ter aterriza la obligación de conocer de manera directa al cliente en una política escrita que debe incluir procedimientos de seguimiento y monitoreo, el conocimiento del perfil transaccional de cada cliente y los supuestos en que las operaciones se apartan de él.

El perfil transaccional se construye con el monto, número y frecuencia de operaciones, el origen y destino de los recursos y la información que aporte el cliente. Durante los primeros seis meses se usa el monto máximo mensual que el propio cliente estime operar —que debe cargarse en el sistema de alertas para detectar inconsistencias— y se reevalúa al menos cada seis meses.

Para clientes de riesgo alto: cuestionarios de identificación sobre origen y destino de recursos, información sobre cónyuge, dependientes económicos y sociedades vinculadas en el caso de personas físicas, y consulta a los registros electrónicos de la Secretaría de Economía tratándose de personas morales. Y cuando el cliente sea PEP con riesgo alto, la operación requiere aprobación de un directivo; si quien realiza la actividad es persona física, se sustituye por una constancia motivada.

4. Beneficiario controlador: tres escalones, en orden

El Capítulo III Quinquies establece un orden de prelación que hay que agotar en secuencia para personas morales:

• La persona física o grupo que directa o indirectamente posea el 25% o más del capital social.
• Si no la hay, quien ejerza el control por otros medios, con funciones ligadas a la estrategia, la toma de decisiones y las políticas principales.
• Si tampoco, quien ocupe la posición de funcionario administrativo de mayor grado o de alta dirección.

Para fideicomisos, es beneficiario controlador cualquier persona física que en última instancia ejerza control efectivo —fiduciarios, fideicomitentes, fideicomisarios, protectoras o miembros del comité técnico—, y si alguno es persona moral hay que ascender en la cadena hasta llegar a la persona física.

La identificación debe hacerse antes de la operación o a más tardar al establecer la relación de negocios, y hay que documentar el procedimiento seguido, no solo el resultado. Se exceptúan las emisoras que cotizan en bolsa —siempre que proporcionen su clave de pizarra— y ciertas personas morales de derecho público.

5. PEP: quién lo es, quién se le asimila, y la Consulta PEP 2.0

El Capítulo III Quáter define a la persona políticamente expuesta e incorpora una lista de asimilados que suele tomar por sorpresa: cónyuge, concubina o concubinario, parientes por consanguinidad o afinidad hasta el segundo grado, y socios o asociados de personas morales con las que mantengan vínculos patrimoniales.

Además, la condición no se extingue al dejar el cargo: la persona sigue siendo PEP nacional durante el año siguiente, y si dejó el cargo dentro del año inmediato anterior a la operación, hay que catalogarla como tal durante el año siguiente a esa operación.

La consulta se hará en la aplicación Consulta PEP 2.0 dentro del portal de la UIF, con la misma e.firma del alta y registro.

6. El Manual de Políticas Internas ya tiene índice obligatorio

El nuevo Capítulo X fija que debes contar con Manual a los noventa días naturales de tu alta y registro, y enumera catorce contenidos mínimos: criterios de identificación y conocimiento; mecanismos de clasificación de riesgo; medidas de debida diligencia por grado; procedimientos para PEP; mecanismos para detectar desviaciones del perfil transaccional; procedimientos de avisos e informes; conservación de información; seguimiento y acumulación de operaciones; identificación contra listas nacionales e internacionales; funciones del representante encargado de cumplimiento; programas de capacitación; control interno, supervisión y auditoría; confidencialidad; y actualización del propio Manual.

Dos matices útiles: los grupos empresariales deben implementar políticas centralizadas aplicables a todas las sucursales y filiales de propiedad mayoritaria, incluidas las extranjeras; y si decides no realizar ciertos actos u operaciones, puedes exentarte de regularlos siempre que lo hagas constar en el Manual. El SAT puede ordenarte modificar el Manual cuando lo estime necesario.

7. Capacitación: quien la imparte debe acreditar cinco años de experiencia

El Capítulo XII es de los más concretos. Los programas se dirigen al consejo de administración o administrador único, directivos, funcionarios, representante encargado de cumplimiento y empleados de atención al público, de identificación de clientes, de envío de avisos o de auditoría.

Contenido mínimo del curso anual: la Ley, el Reglamento, estas Reglas y las resoluciones de formatos con sus modificaciones; el contenido del propio Manual; los actos u operaciones del artículo 17; y los riesgos a los que estás expuesto —coherentes con los resultados de tu metodología. Se suma información sobre técnicas, métodos y tendencias de detección.

Tres requisitos operativos que conviene subrayar: quien imparta la capacitación debe acreditar al menos cinco años de experiencia en PLD; hay que practicar evaluaciones a los participantes para poder expedir constancias, y definir en el Manual qué se hace con quien no apruebe; y toda la evidencia —programas, materiales, listas de asistencia, evaluaciones, constancias— se conserva diez años.

Además, el personal que vaya a operar en áreas de atención al público o administración de recursos debe capacitarse de manera previa o simultánea a su ingreso, y hay que recabar de cada empleado una declaración firmada sobre sectores previos sujetos a la Ley y sobre no haber sido sentenciado por delitos patrimoniales ni inhabilitado.

8. Mecanismos automatizados: una hoja de cálculo puede bastar

Buena noticia para operaciones pequeñas. La definición del Acuerdo es deliberadamente amplia: los mecanismos automatizados pueden ir desde sistemas informáticos especializados hasta procesos apoyados en hojas de cálculo o bases de datos, siempre que cumplan las funciones del artículo 41 y sean verificables ante la autoridad.

Esas funciones son seis: conservar y permitir consulta de los expedientes; agrupar en base consolidada las operaciones por cliente para monitoreo, detección de desviaciones del perfil y acumulación; alimentar la metodología de riesgos; ejecutar el modelo de clasificación conservando históricos por no menos de diez años; ejecutar el sistema de alertas para clientes de riesgo alto, PEP y listas; y monitorear el uso de efectivo y metales preciosos conforme al artículo 32.

No necesitas comprar software carísimo. Necesitas que tu herramienta haga esas seis cosas y que puedas demostrarlo.

9. Auditoría: el capítulo más detallado, y el que más va a doler

El Capítulo XIV es el más extenso del Acuerdo. La revisión evalúa la efectividad del cumplimiento del 1 de enero al 31 de diciembre de cada año, y sus resultados se presentan como dictamen al consejo, administrador único, dirección general o directamente a la persona física.

Quién audita depende de tu propio riesgo. Si tu metodología te clasifica como riesgo bajo o medio, puede dictaminar un área de auditoría o control interno, integrada por personal independiente del representante encargado de cumplimiento y con al menos una acreditación del programa anual de capacitación. Si tu riesgo es alto —o si así lo eliges— debe ser auditor externo independiente que cumpla requisitos duros: título y cédula en derecho, contaduría, finanzas, administración, informática o afines; al menos tres años de experiencia en PLD; certificación vigente de la UIF; no haber sido sentenciado por delitos patrimoniales; no haber prestado servicios que generen conflicto de interés durante el periodo auditado; y no haber sido representante encargado de cumplimiento del auditado durante ese periodo ni los dos años siguientes.

El dictamen tiene estructura obligatoria en siete secciones y cada obligación se califica en una de cinco categorías: Cumple, Cumple mayoritariamente, Cumple parcialmente, No cumple y No aplica. Y aquí está el detalle más incómodo del Acuerdo: el dictamen debe incluir, junto con los hallazgos y acciones correctivas, una proyección económica del monto al que ascenderían las multas si no se atienden. Es decir, tu propia auditoría te entrega por escrito la cifra de tu exposición.

Se entrega a más tardar el último día hábil de marzo, debe dar seguimiento a los hallazgos del dictamen del año anterior, y se conserva junto con su soporte por al menos cinco años. Detectado un incumplimiento, puedes subsanarlo de manera espontánea antes de que inicie la revisión del periodo siguiente.

10. Notificaciones electrónicas: el reloj corre aunque no abras el portal

Al firmar tu alta y registro con e.firma aceptas expresamente ser notificado por medios electrónicos. A partir de ahí: tienes tres días hábiles para abrir los documentos digitales pendientes y la notificación se tiene por realizada al cuarto día hábil, la hayas abierto o no. La regla correlativa es explícita: debes consultar el portal al menos una vez cada día hábil.

Súmale que los requerimientos se atienden en diez días hábiles con prórroga máxima de cinco, y que el trámite de actualización de tu registro debe presentarse dentro de los seis días hábiles siguientes al hecho que lo motive. Una notificación que nadie abrió sigue corriendo plazos.

Dos precisiones sectoriales que conviene no pasar por alto

Designación del responsable de cumplimiento. La persona designada debe ingresar al portal con su propio RFC y e.firma para aceptar o rechazar la designación; si no está inscrita en el RFC puede inscribirse sin obligaciones fiscales. El rechazo no libera de obligaciones a quien designó. Personas morales y fideicomisos solo pueden designar a una persona física.

Arrendamiento en copropiedad. Cuando el uso o goce de un inmueble se otorgue por copropietarios, cada uno cumple sus propias obligaciones tomando como monto de la operación el total de la renta mensual pactada, señalando en el aviso lo relativo al pago recibido en lo individual. Ojo: no se prorratea el umbral.

Firma electrónica del alta. Personas morales, fideicomisos y otras figuras jurídicas deben usar la e.firma asociada a su propio RFC — no la del representante legal, fideicomitentes o apoderados. En asociación en participación, el alta la hace el asociante con la e.firma de la propia A en P.

Cómo te acompañamos en apconsultores

Este Acuerdo no se cumple leyéndolo: se cumple construyendo entregables con fecha. Eso es exactamente lo que hacemos:

• Diseño e implementación de tu metodología de evaluación de riesgos conforme al Capítulo II Quáter, con los indicadores del 139 Quáter y 400 Bis.
• Modelo de clasificación de clientes por grado de riesgo y política de conocimiento con perfil transaccional y sistema de alertas.
• Rediseño del Manual de Políticas Internas con los catorce contenidos mínimos y la metodología incorporada.
• Procedimiento documentado de identificación de beneficiario controlador con el orden de prelación y su rastro probatorio.
• Programa anual de capacitación con temario, evaluaciones, constancias y evidencia conservable a diez años — impartido por instructores con la experiencia acreditable que exigen las Reglas.
• Definición y validación de tus mecanismos automatizados frente a las seis funciones del artículo 41, sin comprarte software que no necesitas.
• Preparación para el primer ciclo de auditoría y acompañamiento en la corrección espontánea de hallazgos.

Somos especialistas en cumplimiento para actividades vulnerables, con práctica directa en casas de empeño, joyerías, inmobiliarias, constructoras, arrendadores y prestadores de servicios profesionales.