Ley Antilavado 2026: la reforma que obliga a tu empresa a tener un sistema

El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que modifica las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. Las reglas anteriores eran de 2013, con parches en 2014 y 2020. Esta reforma no las ajusta: las reescribe.

Casi todo el análisis que ha circulado se concentra en las obligaciones documentales, que son muchas. Pero hay un artículo del que casi nadie está hablando y es el que va a costar dinero: el 41, que obliga a tener mecanismos automatizados operando a más tardar el 1 de junio de 2027. Es la primera vez que una regla mexicana de esta materia describe, con detalle funcional, un sistema.

Qué se publicó exactamente

Las siete fechas que hay que anotar

El escalonamiento es lo primero que conviene entender, porque la fecha que casi todos están citando no es la más urgente.

Parece que sobra tiempo. No sobra. El 1 de marzo de 2027 está a poco más de seis meses, y para esa fecha ya tienes que haber diseñado una metodología, actualizado tu manual y clasificado a toda tu cartera de clientes. Nada de eso se compra: se diseña, y toma meses.

Los cambios de fondo, en orden de esfuerzo

1. Enfoque basado en riesgos

Hay que diseñar una metodología propia de evaluación de riesgos que considere cuatro dimensiones: los actos u operaciones que realizas, el tipo de clientes que atiendes, los países y zonas geográficas donde operas, y los canales por los que distribuyes. Tiene que usar por lo menos doce meses de información real (número de clientes, número de operaciones y monto operado), revisarse cada año y conservarse una década. Si apenas arrancas operaciones, empiezas con datos proyectados y la actualizas al cumplir el primer año.

2. Un grado de riesgo por cada cliente

Mínimo tres niveles: bajo, medio y alto. Y una reevaluación de todos los clientes cada seis meses. Si tienes 800 clientes activos, eso significa 1,600 clasificaciones al año. Hay casos donde el riesgo alto es obligatorio, como los no residentes vinculados a jurisdicciones con regímenes fiscales preferentes o con deficiencias en materia de prevención, y las personas políticamente expuestas extranjeras. Riesgo alto implica cuestionarios adicionales sobre origen y destino de los recursos, y en personas morales, verificar la información de accionistas contra los registros de la Secretaría de Economía.

3. Perfil transaccional y sistema de alertas

Cada cliente necesita un perfil compuesto por monto, frecuencia, zona geográfica, origen y destino de recursos y actividad económica. Encima de eso, la regla exige un sistema de alertas que permita detectar oportunamente cuándo el comportamiento del cliente se aparta de ese perfil. Y el aviso por sospecha se envía dentro de las 24 horas siguientes a que se reconoce la conducta inusual. Con un plazo así, la detección manual deja de ser una opción realista.

4. Beneficiario controlador con orden de prelación

Primero, quien tenga 25% o más del capital social, directa o indirectamente. Si no aplica, quien ejerza el control por otros medios. Si tampoco, quien ocupe el puesto administrativo de mayor jerarquía. Hay que documentar el procedimiento que se siguió, no solo el resultado, y mantenerlo actualizado durante toda la relación de negocios.

5. Manual de Políticas Internas con catorce contenidos mínimos

Plazo de 90 días naturales desde el alta. Debe incluir los criterios de identificación, los mecanismos de clasificación de riesgo, la debida diligencia por nivel, el seguimiento reforzado de personas políticamente expuestas, la detección de desviaciones del perfil transaccional, la acumulación de operaciones para efectos de umbrales, la identificación contra listas, los programas de capacitación y el propio procedimiento para actualizar el manual.

6. Capacitación con evidencia y selección de personal

Cursos al menos una vez al año para consejo, directivos, el Representante Encargado de Cumplimiento y todo empleado que atienda público, identifique clientes, envíe avisos o audite. Con evaluaciones a los participantes y medidas para quienes no aprueben. La evidencia se conserva tres años y quien imparte necesita cinco años de experiencia acreditable. Además, cada empleado firma una declaración sobre si trabajó antes en un sector sujeto a la Ley y sobre no haber sido sentenciado por delitos patrimoniales.

7. Auditoría anual con dictamen

Revisión anual de la efectividad del cumplimiento. Si tu riesgo es bajo o medio, puede hacerla auditoría interna. Si es alto, tiene que ser un auditor externo con certificación vigente de la UIF y sin conflicto de interés. El dictamen califica cada obligación en una de cinco categorías: cumple, cumple mayoritariamente, cumple parcialmente, no cumple y no aplica. Y hay un detalle que vale la pena leer dos veces: debe incluir una proyección económica del monto al que ascenderían las multas si no se atienden los hallazgos. Queda por escrito cuánto va a costar no arreglarlo, y ese documento se conserva cinco años.

El artículo 41: la obligación que casi nadie está leyendo completa

Todo lo anterior es exigente pero previsible. El artículo 41 es distinto. Los mecanismos automatizados deben desarrollar por lo menos estas seis funciones:

1. Conservar, actualizar y permitir la consulta del expediente único de identificación de cada cliente.
2. Agrupar en una base consolidada los actos u operaciones realizados con el mismo cliente, para monitorearlos, identificar los que se aparten de su perfil transaccional y acumular montos para efectos de umbrales.
3. Proveer la información que alimenta la metodología de evaluación de riesgos.
4. Ejecutar el modelo de evaluación de riesgos y clasificar a los clientes, conservando el histórico de las modificaciones del grado de riesgo y del perfil transaccional por no menos de diez años.
5. Ejecutar un sistema de alertas frente a clientes de riesgo alto, personas políticamente expuestas, listas de la UIF y países con regímenes fiscales preferentes o con deficiencias en materia de prevención.
6. Monitorear el uso de efectivo y metales preciosos.

Aquí viene la parte que conviene leer con calma. La definición de mecanismos automatizados dice que pueden ir desde sistemas informáticos especializados hasta procesos apoyados en hojas de cálculo o bases de datos. Mucha gente se quedó con esa mitad de la frase. La otra mitad dice:

…siempre que sus funciones cumplan con lo previsto en el artículo 41 de estas reglas y sea verificable ante la autoridad competente.

O sea que sí, formalmente puedes usar una hoja de cálculo. Siempre que esa hoja de cálculo conserve diez años de histórico de cambios de grado de riesgo, consolide todas las operaciones por cliente, ejecute un modelo de riesgo, dispare alertas contra listas internacionales, y todo eso lo puedas demostrar ante una revisión. En la práctica, casi ninguna hoja de cálculo real cumple eso, y la que lo intenta se rompe al primer cambio de personal.

Por qué esto es un problema de datos antes que de software de cumplimiento

La reacción natural al leer el artículo 41 es buscar un proveedor de software especializado. Es una decisión razonable, pero incompleta, y vale la pena entender por qué.

Un motor de alertas no genera información: la consume. Para saber si un cliente se salió de su perfil transaccional, el sistema necesita saber cuánto te compró, con qué frecuencia, en qué plaza, con qué forma de pago y contra qué contrapartes. Nada de eso vive en el área de cumplimiento. Vive en el ERP, en el sistema de facturación y en el de cobranza.

Tres exigencias del Acuerdo son, leídas de cerca, requerimientos de arquitectura de datos:

• Base consolidada por cliente. Consolidar todas las operaciones del mismo cliente supone que el sistema sabe cuál es el mismo cliente. Si la misma empresa está dada de alta tres veces con razones sociales ligeramente distintas, o si una sucursal factura con un registro y otra con otro, la consolidación falla en silencio y los umbrales nunca se alcanzan aunque en la realidad sí se hayan alcanzado.
• Histórico de diez años del grado de riesgo. Esto no es guardar el valor actual: es guardar cada cambio, con su fecha y su motivo. La mayoría de los sistemas administrativos sobrescriben el dato del cliente cuando se edita. Reconstruir después qué grado de riesgo tenía un cliente en marzo de 2028 es imposible si nunca se versionó.
• Acumulación de montos por periodos de hasta seis meses. Es lógica corriendo sobre el histórico de ventas, cobros y contratos. Si esa información está repartida entre el ERP, un par de hojas de cálculo y el sistema del corporativo, no hay motor de alertas que la reconstruya.

Dicho de otro modo: el mejor software de prevención de lavado de dinero del mercado, alimentado con datos maestros sucios, produce alertas que nadie cree y un dictamen que dice cumple parcialmente. El orden correcto es limpiar primero y automatizar después.

Tres síntomas de que tus datos no van a aguantar

• El mismo cliente aparece más de una vez en tu catálogo, con RFC distinto, con o sin razón social completa, o con variantes de escritura.
• Para saber cuánto te compró un cliente en el año tienes que exportar a Excel y sumar a mano, porque el dato no sale de un solo lugar.
• Cuando alguien edita la ficha de un cliente, el dato anterior desaparece. No hay bitácora de quién cambió qué ni cuándo.

Si reconoces los tres, el artículo 41 no es tu primer problema. Tu primer problema es el catálogo.

Qué hacer en los próximos seis meses

Diez preguntas para saberlo antes de firmar con un proveedor

Si estás evaluando software, o quieres saber si el sistema que ya tienes sirve, estas son las preguntas que valen la pena. Pide que te las contesten demostrando en pantalla, no en el folleto.

1. ¿El sistema identifica automáticamente cuando dos registros son el mismo cliente, o hay que hacerlo a mano?
2. ¿Puedo ver todas las operaciones de un cliente consolidadas en una sola vista, incluyendo las de otras sucursales o entidades legales?
3. ¿Guarda el histórico de cambios de grado de riesgo, con fecha y usuario, o solo el valor vigente?
4. ¿Ese histórico se conserva diez años sin que crezca al punto de volverse inconsultable?
5. ¿Acumula montos por cliente en periodos móviles de seis meses para detectar umbrales?
6. ¿Puede comparar el comportamiento real contra el perfil transaccional declarado y avisar cuando se separan?
7. ¿Cómo se cargan y actualizan las listas de la UIF y de países de riesgo? ¿Es manual?
8. ¿Qué evidencia genera para un auditor externo? ¿Puede exportarla?
9. ¿Qué pasa cuando cambia la regla? ¿La parametrización la puede ajustar mi equipo o depende del proveedor?
10. ¿De dónde toma los datos de operaciones? Si la respuesta es de una carga manual, ya sabes cuál va a ser el punto de falla.

¿A quién le aplica todo esto?

A quienes realizan alguna de las Actividades Vulnerables del artículo 17 de la Ley. Entre las más comunes en el sector empresarial mexicano están el desarrollo inmobiliario y la compraventa de inmuebles, el arrendamiento de inmuebles, la comercialización de vehículos, aeronaves y embarcaciones, la joyería y los metales y piedras preciosas, el blindaje, el traslado y custodia de valores, las casas de empeño y el mutuo o préstamo, la recepción de donativos, la fe pública, ciertos servicios profesionales y los servicios con activos virtuales.

Si tu empresa está en alguno de esos giros y tiene más de cincuenta empleados, este documento te aplica y las fechas ya están corriendo.

Una aclaración necesaria

Tersoft no es un despacho legal ni fiscal. Este artículo describe lo que dice el Acuerdo 115/2026 desde la perspectiva de qué le exige a tus sistemas y a tus datos. La interpretación de tus obligaciones específicas, los umbrales que te aplican y las consecuencias de incumplirlas le corresponden a tu abogado, a tu contador o a tu oficial de cumplimiento. Lo que nosotros podemos decirte es si la información que tu operación produce hoy alcanza para sostener lo que la regla va a pedirte a partir de junio de 2027.

Siguiente paso

Si quieres saber en qué estado están tus datos maestros antes de invertir en software de cumplimiento, hacemos un diagnóstico de catálogo de clientes: duplicados, RFC incompletos, operaciones sin consolidar y capacidad de versionado. Es el paso que casi nadie da primero y el que evita pagar dos veces. Escríbenos y lo revisamos con tu equipo.

Fuentes

• Acuerdo por el que se modifican las Reglas de carácter general a que se refiere la LFPIORPI, DOF, 7 de agosto de 2026.
• Nuevas reglas de carácter general de la ley antilavado en México, Holland & Knight.
• Hacienda endurece controles antilavado; publica reglas en el DOF, Excélsior.