Actividades Vulnerables: el giro hacia un enfoque basado en riesgos
Introducción
Tras más de una década de vigencia del régimen de Actividades Vulnerables, la Secretaría de Hacienda y Crédito Público (SHCP) dio a conocer en la edición vespertina del Diario Oficial de la Federación (DOF) del 7 de agosto, el Acuerdo 115/2026, mediante el cual modifica de manera extensa las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (RCGLFPIORPI).
La reforma incorpora nuevos capítulos, obligaciones y mecanismos de control que aproximan el marco regulatorio mexicano a los estándares promovidos por el Grupo de Acción Financiera Internacional (GAFI).
La reforma no solo amplía las obligaciones existentes, sino que redefine la manera en que los sujetos obligados deberán gestionar el riesgo de lavado de dinero.
La relevancia de estos cambios no radica únicamente en el volumen de modificaciones, sino en el cambio conceptual que introduce; el cumplimiento deja de descansar exclusivamente en la integración documental y la presentación de avisos para evolucionar hacia un modelo de identificación, monitoreo y mitigación de riesgos.
Del cumplimiento formal a la gestión de riesgos
Uno de los cambios centrales es la creación del Capítulo II Quáter, que obliga a quienes realizan Actividades Vulnerables a diseñar e implementar una metodología de evaluación de riesgos, capaz de identificar, analizar, medir y mitigar riesgos asociados a clientes, operaciones, jurisdicciones, canales de distribución y transacciones.
Además, la evaluación deberá documentarse, actualizarse periódicamente y estar disponible para la autoridad. El Servicio de Administración Tributaria (SAT) incluso podrá revisar la metodología y requerir ajustes cuando considere que la administración de riesgos es insuficiente.
En términos prácticos, la supervisión ya no se limitará a verificar la presentación de avisos, también evaluará la calidad de las políticas, los criterios de clasificación, las ponderaciones utilizadas y los mecanismos de mitigación adoptados por cada sujeto obligado.
Clasificación de clientes y conocimiento reforzado
Asimismo, la reforma incorpora un Capítulo III Bis que exige que los sujetos obligados clasifiquen a sus clientes conforme a grados de riesgo, al menos en categorías de riesgo bajo, medio y alto. Para ello deberán considerar factores como actividad económica, nacionalidad, residencia, origen de recursos, frecuencia de operaciones y comportamiento transaccional.
Por su parte, el Capítulo III Ter introduce obligaciones de conocimiento del cliente (KYC) considerablemente más desarrolladas. Entre las que destacan:
- Determinación del perfil transaccional.
- Monitoreo continuo de operaciones.
- Implementación de sistemas de alertas.
- Revisión periódica de clientes.
- Actualización constante de expedientes.
La principal novedad radica en que la autoridad ya no se limitará a verificar la existencia de documentación suficiente, sino que también evaluará si el comportamiento real del cliente resulta congruente con el perfil inicialmente identificado.
Beneficiario controlador y Personas Políticamente Expuestas
Otro de los pilares de la reforma es el fortalecimiento de la identificación del beneficiario controlador. Las nuevas disposiciones prevén la identificación de la persona física que posea o controle, directa o indirectamente, al menos 25% de una estructura corporativa, o que ejerza control efectivo por cualquier otro medio.
Asimismo, se establecen reglas específicas para fideicomisos, incluyendo fideicomitentes, fideicomisarios, fiduciarios, protectores y miembros de comités técnicos.
De forma paralela, se incorpora un régimen específico para Personas Políticamente Expuestas (PEP), que incluye definiciones de PEP nacionales y extranjeras, así como de sus familiares, asociados y personas vinculadas patrimonialmente. De igual forma, prevé el uso de la plataforma Consulta PEP 2.0 para realizar verificaciones y aplicar medidas reforzadas en determinados supuestos.
Activos virtuales: regulación más detallada
Las Actividades Vulnerables relacionadas con activos virtuales se encuentran entre las áreas con mayor impacto de la reforma.
Las nuevas reglas exigen la conservación de información relativa a wallets, direcciones digitales, trazabilidad de operaciones, país de residencia, origen y destino de recursos, beneficiarios controladores y servicios de custodia o intermediación.
De igual forma, se incorporan disposiciones específicas sobre custodia, almacenamiento e intermediación de activos virtuales, así como requisitos de información alineados con los estándares internacionales de transferencia de información en operaciones con criptoactivos promovidos por el GAFI.
Para los proveedores de servicios de activos virtuales, la reforma implica un aumento significativo de obligaciones de identificación, conservación documental y trazabilidad operativa.
Avisos por sospecha y por hechos o indicios: uno de los cambios más relevantes
Desde la perspectiva de supervisión, uno de los cambios más relevantes es la incorporación de los artículos 26 Bis, 26 Bis 1 y 26 Bis 2.
Hasta ahora, el sistema se sustentaba principalmente en avisos vinculados al rebase de umbrales previstos en la ley. Con la reforma se incorporan reportes por sospecha y por hechos o indicios, los cuales deberán presentarse dentro de las 24 horas siguientes a la detección de conductas, hechos o comportamientos que puedan vincularse con operaciones con recursos de procedencia ilícita o con estructuras financieras de organizaciones delictivas.
Esta modificación introduce una lógica más cercana a los reportes de operaciones inusuales que operan en el sistema financiero y representa un cambio cualitativo respecto del modelo vigente desde 2013.
Auditoría y gobierno de cumplimiento
La reforma también crea un régimen formal de auditoría mediante el nuevo Capítulo XIV.
Los sujetos obligados deberán someterse a revisiones periódicas sobre la efectividad de su cumplimiento. Dependiendo del nivel de riesgo, la auditoría podrá realizarse por un área interna independiente o por un auditor externo certificado.
Además, los dictámenes deberán calificar el grado de cumplimiento de las obligaciones evaluadas conforme a las siguientes categorías:
- Cumple.
- Cumple mayoritariamente.
- Cumple parcialmente.
- No cumple.
- No aplica.
El objetivo es generar evidencia documentada sobre la eficacia real del sistema de prevención implementado por cada sujeto obligado.
Impacto práctico
Los sectores que enfrentarán mayores ajustes operativos son:
- Proveedores de servicios de activos virtuales.
- Desarrolladores inmobiliarios.
- Prestadores de servicios corporativos.
- Notarios y corredores en actividades sujetas a la LFPIORPI.
Estos participantes deberán desarrollar metodologías de riesgo, actualizar manuales internos, clasificar clientes, robustecer procesos de beneficiario controlador e implementar mecanismos de monitoreo y trazabilidad que anteriormente no existían con este nivel de detalle.
Calendario de implementación
La entrada en vigor general del acuerdo está prevista para el 30 de noviembre de 2026. Las principales fechas de cumplimiento son:
- 1 de marzo de 2027: evaluación de riesgos; actualización del manual de políticas internas; clasificación de clientes; procedimientos de conocimiento del cliente, e identificación del beneficiario controlador.
- 1 de junio de 2027: implementación de mecanismos automatizados.
- 1 de enero de 2028: inicio del primer periodo anual de auditoría.
Conclusión
La reforma representa la actualización más profunda del régimen de Actividades Vulnerables desde la publicación original de las reglas en 2013. Más que ampliar las obligaciones documentales, el nuevo esquema busca acreditar que los sujetos obligados conocen, evalúan y administran efectivamente sus riesgos de lavado de dinero.
La adopción obligatoria del enfoque basado en riesgos, la regulación reforzada de los activos virtuales y la incorporación de avisos por sospecha y por hechos o indicios constituyen los principales ejes de la reforma.
Con estas medidas, el régimen de Actividades Vulnerables deja atrás una lógica centrada en el cumplimiento formal y avanza hacia un esquema de prevención sustentado en la identificación, monitoreo y mitigación efectiva de riesgos, en línea con los estándares internacionales promovidos por el GAFI.
Fuente: Checkpoint México
