Nuevas Reglas de Carácter General de la LFPIORPI: qué cambia con el Acuerdo 115/2026

Las nuevas Reglas de Carácter General de la LFPIORPI ya son oficiales: el Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, reforma las reglas antilavado de México y entra en vigor el 30 de noviembre de 2026, con obligaciones exigibles de forma escalonada hasta 2028. Adiciona 11 capítulos nuevos y traslada el eje del cumplimiento formal hacia la administración efectiva del riesgo.

Si realizas alguna de las Actividades Vulnerables del artículo 17 de la Ley —notarios, inmobiliarias, joyerías, casas de empeño, blindaje, comercio de vehículos, prestación de servicios profesionales, entre otras—, esta reforma cambia cómo debes identificar clientes, evaluar riesgos, capacitar a tu personal y auditar tu cumplimiento. Y las fechas ya están corriendo.

Qué son las Reglas de Carácter General y qué cambió

Las Reglas de Carácter General (RCG) son las disposiciones administrativas que la Secretaría de Hacienda y Crédito Público (SHCP), por conducto del Servicio de Administración Tributaria (SAT), emite para volver operativa la LFPIORPI. La Ley y su Reglamento fijan el qué del cumplimiento antilavado; las RCG definen el cómo: los formatos, plazos, contenidos mínimos y procedimientos técnicos que se aplican en el día a día.

Hasta ahora regían las reglas expedidas el 23 de agosto de 2013, que solo habían recibido ajustes puntuales en 2014 y 2020. La reforma a la LFPIORPI vigente desde julio de 2025 —el cambio más profundo desde que la Ley se promulgó— creó obligaciones nuevas que quedaron pendientes de reglamentación. El Acuerdo 115/2026 es precisamente el instrumento que las aterriza y las hace exigibles. En palabras del análisis jurídico especializado, no se trata de una reforma más, sino de una que reordena por completo la arquitectura del régimen aplicable a las Actividades Vulnerables.

El Acuerdo fue firmado por el Secretario de Hacienda el 24 de julio de 2026 y publicado en el DOF con el código 5795797. Modifica las reglas de 2013, incorpora ocho definiciones nuevas al artículo 3 y deroga cinco disposiciones.

Novedades recientes: el nuevo régimen que introduce el Acuerdo 115/2026

Esta es la novedad regulatoria del año en materia antilavado en México, y su rasgo central es un giro conceptual: de un cumplimiento basado en llenar formatos a un cumplimiento basado en gestionar riesgo real. El Acuerdo adiciona 11 capítulos completos que antes no existían. Estos son los que más impacto tienen sobre la operación:

• Enfoque Basado en Riesgos (EBR): Por primera vez se te exige diseñar e implementar una metodología documentada para evaluar el riesgo de tus operaciones, clientes, transacciones y canales, considerando cuatro elementos mínimos: actos u operaciones, tipo de clientes, países y áreas geográficas, y transacciones y canales de distribución. Esa información debe conservarse al menos diez años.
• Clasificación por Grado de Riesgo del cliente: Debes contar con un modelo que clasifique a cada cliente en, al menos, tres niveles —bajo, medio y alto— y reevaluarlo cuando menos cada seis meses. Se consideran de riesgo alto, como mínimo, los no residentes vinculados a jurisdicciones de alto riesgo y las Personas Políticamente Expuestas extranjeras.
• Conocimiento del cliente y Perfil transaccional: Se introduce el Perfil transaccional como pieza central del monitoreo, junto con un sistema de alertas obligatorio que detecte desviaciones del comportamiento esperado del cliente.
• Manual de Políticas Internas con contenido mínimo obligatorio: El Manual pasa a tener 14 apartados obligatorios y debe elaborarse dentro de los 90 días naturales siguientes al alta y registro.
• Mecanismos automatizados con seis funciones mínimas: La reforma a la Ley ya había vuelto exigible el monitoreo automatizado; las RCG ahora definen las seis funciones que estos mecanismos deben cumplir, desde agrupar operaciones por cliente hasta ejecutar el modelo de evaluación de riesgos y conservar diez años el histórico de cambios.
• Auditoría anual de cumplimiento: Se establece una revisión anual con dictamen, calificación en cinco niveles y plazos de entrega definidos.
• Beneficiario Controlador con orden de prelación: Se fija un procedimiento obligatorio para identificar al beneficiario controlador, empezando por quien posea el 25% o más del capital.
• Capacitación anual obligatoria: Para el personal clave, con al menos un curso al año y evidencia conservada por diez años.
• Avisos por sospecha en 24 horas: Se crean nuevos tipos de aviso que deben enviarse dentro de las 24 horas siguientes a detectar una conducta inusitada, incluso si la operación no alcanzó el umbral o no llegó a concretarse.

Un dato de contexto relevante: el Acuerdo acerca por primera vez el régimen mexicano de Actividades Vulnerables a los estándares del Grupo de Acción Financiera Internacional (GAFI) en este segmento, lo que anticipa una supervisión más exigente hacia adelante.

Calendario de cumplimiento: cuándo es exigible cada obligación

El error más costoso sería asumir que todo aplica desde el 30 de noviembre de 2026. En realidad, el Acuerdo escalona las obligaciones a lo largo de casi dos años. Este es el calendario según los artículos transitorios:

Además, el envío de los nuevos avisos por sospecha (artículos 26 Bis y 26 Bis 1) queda condicionado a que se publique la Resolución de formatos oficiales que los identifique; hasta que eso ocurra, la fecha exacta no puede determinarse. Todas estas fechas provienen de artículos transitorios del propio Acuerdo, por lo que conviene anclarlas al texto oficial en el DOF antes de fijar tu plan interno.

A quién aplica

El Acuerdo obliga a todas las personas físicas y morales que realizan alguna de las Actividades Vulnerables enumeradas en el artículo 17 de la LFPIORPI. En la práctica, esto abarca a un universo muy amplio de sectores no financieros:

Una novedad importante: las asociaciones y sociedades sin fines de lucro cuyo fin preponderante sea recibir donativos quedan sujetas a medidas de prevención con enfoque de riesgo, con independencia de que sean o no consideradas Actividad Vulnerable conforme al artículo 17.

Las obligaciones clave que debes implementar

Más allá del calendario, estas son las obligaciones concretas que definen el nuevo estándar de cumplimiento:

• Metodología de Enfoque Basado en Riesgos: Debe constar por escrito, usar información de un periodo no menor a doce meses, revisarse al menos cada doce meses (o cuando aparezcan nuevos riesgos o se actualice la Evaluación Nacional de Riesgos) e incluir indicadores específicos para los delitos de los artículos 139 Quáter y 400 Bis del Código Penal Federal.
• Modelo de clasificación de clientes: Con al menos tres grados de riesgo, reevaluación semestral, y factores tanto inherentes (giro, nacionalidad, residencia, fuentes de ingreso) como transaccionales (tipo, volumen, frecuencia, contrapartes, origen y destino de recursos).
• Manual de Políticas Internas: Sus 14 apartados mínimos incluyen criterios de identificación y conocimiento de clientes, mecanismos de clasificación de riesgo, medidas de debida diligencia por grado de riesgo, procedimientos para PEP, detección de operaciones fuera del perfil transaccional, presentación de avisos, conservación de información, funciones del Representante Encargado de Cumplimiento, capacitación, control interno y auditoría, y la actualización del propio Manual.
• Mecanismos automatizados: El artículo 41 les exige seis funciones: conservar el expediente único de identificación, agrupar operaciones por cliente para detectar desviaciones del perfil, proveer la información de la metodología de riesgo, ejecutar el modelo de evaluación y conservar el histórico diez años, ejecutar un sistema de alertas para riesgo alto y PEP, y monitorear el uso de efectivo y metales preciosos.
• Auditoría anual: Del 1 de enero al 31 de diciembre de cada año, con dictamen entregado a más tardar el último día hábil de marzo del año siguiente. Quienes sean de riesgo bajo o medio pueden dictaminar con su área interna; los de riesgo alto requieren un auditor externo independiente certificado por la UIF.

Sanciones por incumplimiento

El régimen sancionador de la LFPIORPI opera en Unidades de Medida y Actualización (UMA). El incumplimiento de las obligaciones del artículo 18 —que es donde viven la mayoría de las nuevas exigencias— se sanciona con multas de 200 a 2,000 UMA por cada obligación incumplida, conforme a los artículos 53 y 54 de la Ley. En los supuestos más graves, el régimen sancionador alcanza hasta 65,000 UMA. Como referencia, el valor diario de la UMA para el periodo vigente es de aproximadamente 117 pesos, de modo que las multas escalan con rapidez cuando se acumulan varias obligaciones. El dictamen de auditoría, además, debe incluir una proyección económica del monto de las multas en caso de no atender las acciones correctivas —una señal clara de hacia dónde apunta la supervisión.

Cómo prepararte paso a paso

La ventaja de un calendario escalonado es que da tiempo para prepararse con orden. Una ruta razonable:

1. Diagnostica tu situación actual. Determina qué Actividades Vulnerables realizas y qué obligaciones nuevas te aplican según tu perfil de riesgo.
2. Diseña tu metodología de EBR. Es la base de casi todo lo demás: sin ella no puedes clasificar clientes, definir perfiles transaccionales ni calibrar tus alertas. Apunta a tenerla lista antes del 1 de marzo de 2027.
3. Redacta o actualiza tu Manual de Políticas Internas con los 14 apartados obligatorios.
4. Implementa tus mecanismos automatizados con las seis funciones mínimas, con la meta del 1 de junio de 2027.
5. Establece tu programa de capacitación anual y la evidencia documental que deberás conservar.
6. Prepara tu esquema de auditoría para el primer periodo, que corre desde el 1 de enero de 2028.

Cómo se conecta con una gestión integral de riesgos

El giro del Acuerdo 115/2026 hacia el enfoque basado en riesgos no es un requisito aislado: es la misma lógica que ya rige el riesgo operativo (ISO 31000), la seguridad de la información (ISO 27001) y el cumplimiento normativo en general. Una metodología de riesgo antilavado bien diseñada se apoya en tu marco de compliance para no duplicar controles, y alimenta tu función de auditoría con evidencia trazable. Verlo de forma integrada, y no como cumplimientos separados por silos, es lo que reduce la carga operativa real de esta reforma.

Cumple con la LFPIORPI usando Pirani

Las nuevas RCG convierten en obligatorio lo que antes muchos hacían en hojas de cálculo: clasificar clientes por grado de riesgo, mantener un perfil transaccional actualizado, disparar alertas automáticas, conservar históricos por diez años y sostener todo con evidencia auditable. Ese es exactamente el terreno donde el sistema de Gestión de Prevención de Lavado de Activos (AML) de Pirani hace simple lo complejo: automatiza el monitoreo de transacciones y establece alertas para identificar actividades sospechosas sin depender de procesos manuales.

Para la parte documental y de controles —el Manual de Políticas Internas, el seguimiento de obligaciones y su actualización—, el sistema de Cumplimiento Normativo (Compliance) centraliza tus normativas y automatiza controles; y para el nuevo régimen de revisión anual, el sistema de Auditoría automatiza listas de chequeo, hallazgos y planes de remediación con trazabilidad. Si operas en México, en nuestra página de la LFPIORPI encontrarás cómo Pirani acompaña específicamente este cumplimiento.

Más de 70.000 usuarios en 110 países ya confían en Pirani, con clientes como BBVA, MetLife y Banco Falabella, y respaldo en certificaciones ISO 27001, ISO 9001 y SOC 2 Type II. Puedes agendar una demo para ver cómo mapear estas obligaciones a tu operación, o crear una cuenta gratis y empezar hoy mismo: no necesitas tarjeta de crédito.

Preguntas frecuentes

• ¿Cuándo entran en vigor las nuevas Reglas de Carácter General de la LFPIORPI? Las reglas reformadas por el Acuerdo 115/2026 entran en vigor el 30 de noviembre de 2026, según su Transitorio Primero. Sin embargo, varias obligaciones se difieren: el enfoque basado en riesgos y el Manual de Políticas Internas hasta el 1 de marzo de 2027, los mecanismos automatizados hasta el 1 de junio de 2027 y el primer periodo de auditoría hasta el 1 de enero de 2028.
• ¿Qué es el Acuerdo 115/2026? Es el acuerdo publicado en el Diario Oficial de la Federación el 7 de agosto de 2026 que modifica las Reglas de Carácter General de la LFPIORPI, expedidas originalmente en 2013. Adiciona 11 capítulos nuevos, incorpora 8 definiciones al artículo 3 y deroga 5 disposiciones. Lo suscribe el Secretario de Hacienda y Crédito Público.
• ¿Qué debe contener el Manual de Políticas Internas? El artículo 37 Bis exige 14 apartados mínimos, entre ellos los criterios de identificación y conocimiento de clientes, los mecanismos de clasificación de riesgo, las medidas de debida diligencia por grado de riesgo, los procedimientos para Personas Políticamente Expuestas, la presentación de avisos e informes y las funciones del Representante Encargado de Cumplimiento. Debe elaborarse dentro de los 90 días naturales siguientes al alta y registro.
• ¿Desde cuándo es obligatoria la auditoría anual de cumplimiento? El primer periodo de revisión corre del 1 de enero al 31 de diciembre de 2028. Quienes sean de riesgo bajo o medio pueden dictaminar con su propia área de auditoría o control interno; quienes sean de riesgo alto requieren un auditor externo independiente certificado por la UIF. El dictamen se entrega a más tardar el último día hábil de marzo del año siguiente.
• ¿En cuánto tiempo debe enviarse el aviso por sospecha? El aviso por sospecha debe enviarse dentro de las 24 horas siguientes a que se reconozca una conducta inusitada del cliente. Puede enviarse aunque la operación no alcance el umbral e incluso si no llegó a celebrarse. Su inicio queda condicionado a la publicación de la Resolución de formatos oficiales que identifique este tipo de aviso.