Ya se Publicaron las Reglas de Carácter General para Actividades Vulnerables (LFPIORPI)
Última actualización: 7 de agosto de 2026.
El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público (SHCP) publicó en el Diario Oficial de la Federación (DOF) el Acuerdo por el que se modifican las Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). Después de meses de expectativa, ya son oficiales las nuevas obligaciones que deberán cumplir todas las personas que realizan Actividades Vulnerables en México.
Puedes consultar la publicación oficial completa aquí: Acuerdo 115/2026 — Diario Oficial de la Federación
Este artículo resume, con lenguaje técnico y accionable, qué cambia, cuándo entra en vigor cada obligación y qué debe hacer tu empresa para prepararse.
¿Qué son las Reglas de Carácter General para Actividades Vulnerables?
Las Reglas de Carácter General son las disposiciones administrativas obligatorias, emitidas por la SHCP y el SAT, que detallan los procedimientos técnicos, los formatos operativos y los criterios exactos para cumplir con la LFPIORPI. El Acuerdo publicado el 7 de agosto de 2026 reforma de manera integral estas Reglas, introduciendo capítulos completamente nuevos que antes no existían en el marco normativo.
¿Cuándo entran en vigor las nuevas Reglas?
La entrada en vigor general es el 30 de noviembre de 2026, pero varias obligaciones tienen plazos escalonados que corren después de esa fecha. Esto es clave: no todo aplica el mismo día.
| Fecha | Obligación |
|---|---|
| 30 nov 2026 | Entrada en vigor del resto de las reformas a las Reglas |
| 1 mar 2027 | Se deberá contar con: metodología con Enfoque Basado en Riesgo, observar sus resultados en la evaluación de clientes, y procedimientos de selección de personal |
| 1 jun 2027 | Se deberá contar con mecanismos automatizados (Capítulo XIII) |
| 1 ene – 31 dic 2027 | Primer periodo de capacitación anual obligatoria |
| 1 ene – 31 dic 2028 | Primer periodo de auditoría anual en la materia |
| 6 meses tras entrada en vigor | Proveedores de Servicios de Activos Virtuales deben actualizar y entregar información societaria y de Beneficiario Controlador (Art. 10 Bis) |
| 9 meses tras entrada en vigor | Consulta habilitada sobre Personas Políticamente Expuestas nacionales (aplicación Consulta PEP 2.0) |
Jerarquía normativa: Ley, Reglamento y Reglas de Carácter General
| Ordenamiento | Entidad emisora | Objeto operativo principal |
|---|---|---|
| LFPIORPI (la Ley) | Congreso de la Unión | Define las Actividades Vulnerables, los umbrales de aviso y las restricciones de efectivo |
| Reglamento de la Ley | Ejecutivo Federal | Establece las facultades de verificación de las autoridades y los procesos generales de supervisión |
| Reglas de Carácter General | SHCP y SAT | Detalla la estructura técnica de expedientes, formatos de avisos, metodología de riesgo y plazos de entrega |
¿A qué Actividades Vulnerables aplican las nuevas Reglas? (Art. 17 LFPIORPI)
| Sector / Actividad |
|---|
| Sector inmobiliario (compraventa y desarrollo) |
| Joyería, relojes y metales preciosos |
| Comercialización de vehículos (terrestres, aéreos y marítimos) |
| Servicios de blindaje |
| Juegos, concursos y sorteos |
| Traslado y custodia de valores |
| Activos virtuales (criptomonedas) |
| Servicios de fe pública (notarías) |
| Donativos (asociaciones y sociedades sin fines de lucro) |
| Servicios financieros no regulados (arrendamiento puro, factoraje, mutuo o crédito) |
| Servicios profesionales que administren recursos o cuentas a nombre de clientes |
El cambio central: Enfoque Basado en Riesgo (EBR)
El nuevo Capítulo II Quáter obliga a diseñar e implementar una metodología de evaluación de Riesgos, documentada en el Manual de Políticas Internas, que debe:
- Identificar elementos e indicadores de riesgo (tipo de cliente, país/zona geográfica, canales, transacciones).
- Asignar un valor consistente a cada indicador y elemento de riesgo.
- Identificar los Mitigantes ya implementados.
- Incluir indicadores específicos vinculados a los delitos de los artículos 139 Quáter y 400 Bis del Código Penal Federal.
- Actualizarse cuando se detecten nuevos riesgos, y en un plazo no mayor a 12 meses tras contar con resultados de su implementación.
La autoridad deja de evaluar solo el cumplimiento formal: ahora exige demostrar que la metodología de gestión de riesgo es efectiva.
Grado de Riesgo: clasificación obligatoria de clientes
El nuevo Capítulo III Bis obliga a establecer al menos tres clasificaciones de riesgo (bajo, medio y alto) para cada Cliente o Usuaria, con reevaluación al menos cada seis meses. Los clientes de Grado de Riesgo alto —incluyendo Personas Políticamente Expuestas extranjeras y no residentes en jurisdicciones de riesgo fiscal preferente— requieren debida diligencia reforzada y, en el caso de PEP de alto riesgo, aprobación de un directivo antes de operar.
Beneficiario Controlador: identificación con orden de prelación
El nuevo Capítulo III Quinquies establece un orden de prelación obligatorio para identificar al Beneficiario Controlador de una persona moral:
- Persona física o grupo que posea el 25% o más del capital social.
- Persona física que ejerza control por otros medios (estrategia, toma de decisiones).
- Persona física que ocupe el cargo de mayor jerarquía administrativa.
Esta información debe documentarse, actualizarse durante toda la Relación de negocios y conservarse por diez años.
Manual de Políticas Internas, mecanismos automatizados y auditoría
- Manual de Políticas Internas (Cap. X): debe incluir 14 elementos mínimos, entre ellos los mecanismos de clasificación de riesgo, debida diligencia por Grado de Riesgo y procedimientos de actualización.
- Mecanismos Automatizados (Cap. XIII): a partir del 1 de junio de 2027, deben ejecutar el modelo de evaluación de riesgos, agrupar operaciones por cliente, generar alertas para clientes de alto riesgo y PEP, y conservar históricos por al menos 10 años.
- Auditoría anual (Cap. XIV): el primer periodo corre del 1 de enero al 31 de diciembre de 2028. Cuando el riesgo del sujeto obligado sea alto, la auditoría debe realizarla un auditor externo independiente certificado por la UIF.
¿Cómo ayuda la tecnología a cumplir con las nuevas Reglas?
Ante la magnitud de estas obligaciones —metodología de riesgo, clasificación dinámica de clientes, mecanismos automatizados y auditoría anual documentada—, los procesos manuales dejan de ser viables. ArmorAML® automatiza la aplicación del Enfoque Basado en Riesgo, la integración de expedientes digitales, la identificación del Beneficiario Controlador y la generación de los registros que exige la auditoría anual.
Conoce cómo ArmorAML puede ayudar a tu Actividad Vulnerable a prepararse: Software de Prevención de Lavado de Dinero para Actividades Vulnerables
Preguntas Frecuentes (FAQ)
¿Ya se publicaron las nuevas Reglas de Carácter General de la LFPIORPI? Sí. Se publicaron el 7 de agosto de 2026 en el Diario Oficial de la Federación mediante el Acuerdo que modifica las Reglas de Carácter General de la LFPIORPI.
¿Cuándo entran en vigor las nuevas Reglas de Carácter General? La mayoría de las reformas entran en vigor el 30 de noviembre de 2026. Otras obligaciones, como la metodología de riesgo y los mecanismos automatizados, tienen plazos posteriores hasta 2027 y 2028.
¿Qué es el Enfoque Basado en Riesgo (EBR) en la LFPIORPI? Es la metodología obligatoria que exige a quienes realizan Actividades Vulnerables identificar, medir y mitigar los riesgos de lavado de dinero según el tipo de cliente, la operación y la zona geográfica, en lugar de aplicar controles genéricos.
¿Qué es el Grado de Riesgo de un cliente y cuándo se evalúa? Es la clasificación (bajo, medio o alto) que cada Actividad Vulnerable debe asignar a sus clientes según su perfil de riesgo. Debe evaluarse al menos cada seis meses o con mayor frecuencia si el riesgo es alto.
¿Quién es el Beneficiario Controlador según las nuevas Reglas? Es la persona física que, directa o indirectamente, posee el 25% o más del capital social de una empresa, o que ejerce el control efectivo de sus decisiones, aunque no aparezca formalmente como propietaria.
¿Cuándo se debe contar con mecanismos automatizados? A más tardar el 1 de junio de 2027, con información de las operaciones realizadas a partir de esa fecha.
¿Cuándo inicia la primera auditoría obligatoria en materia de PLD? El primer periodo de auditoría anual corre del 1 de enero al 31 de diciembre de 2028.
¿A qué actividades aplican las nuevas Reglas de Carácter General? Aplican a todas las Actividades Vulnerables del artículo 17 de la LFPIORPI: sector inmobiliario, joyería y metales preciosos, comercialización de vehículos, blindaje, juegos y sorteos, traslado de valores, activos virtuales, servicios de fe pública, donativos y servicios financieros no regulados, entre otras.
Fuente oficial: Diario Oficial de la Federación — Acuerdo 07/08/2026
