Nuevas reglas de la LFPIORPI: El calendario estratégico de la Alta Dirección para la recalibración del Enfoque Basado en Riesgo (EBR)
Nuevas reglas de la LFPIORPI: El calendario estratégico de la Alta Dirección para la recalibración del Enfoque Basado en Riesgo (EBR)
Análisis del Acuerdo 115/2026 publicado en el DOF: plazos de exigibilidad, adecuaciones operativas y gestión del riesgo legal para las empresas en México.
1. El nuevo marco regulatorio: El Acuerdo 115/2026 en el DOF
El 7 de agosto de 2026, en su edición vespertina, el Diario Oficial de la Federación (DOF) publicó el Acuerdo 115/2026, mediante el cual la Secretaría de Hacienda y Crédito Público modifica las Reglas de Carácter General de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).
Para las organizaciones que realizan Actividades Vulnerables, sus Consejos de Administración y sus Oficiales de Cumplimiento, este ajuste normativo constituye una evolución sustancial en los estándares de supervisión en México. La reforma busca fortalecer el Enfoque Basado en Riesgo (EBR), perfeccionar los procesos de identificación del Beneficiario Controlador y elevar la capacidad de respuesta institucional ante operaciones sospechosas mediante la integración de mecanismos automatizados.
Sin embargo, la implementación de este marco no se concibe como un cambio intempestivo de ejecución inmediata. El Acuerdo establece un régimen de entrada en vigor y cumplimiento escalonado. En consecuencia, la anticipación técnica y la planificación estratégica resultan fundamentales para evitar brechas operativas, sanciones administrativas o contingencias legales cuando las distintas obligaciones comiencen a ser formalmente exigibles.
2. Calendario de implementación y exigibilidad
Nota de precisión jurídica: Las fechas y obligaciones descritas deben analizarse conjuntamente con los artículos transitorios del Acuerdo 115/2026 y las disposiciones específicas aplicables a cada sector o tipo de sujeto obligado.
Para la estructuración de un plan de trabajo institucional, la Alta Dirección debe considerar el siguiente cronograma regulatorio:
- 30 de noviembre de 2026: Entrada en vigor general del Acuerdo 115/2026.
- 1 de marzo de 2027: Fecha prevista en el régimen transitorio para la aplicación de las disposiciones sobre evaluación de riesgos, actualización del manual de políticas internas, clasificación de perfiles, debida diligencia de conocimiento del cliente e identificación del Beneficiario Controlador.
- 1 de junio de 2027: Fecha prevista para la puesta en marcha operativa de los mecanismos automatizados de monitoreo y gestión de riesgo.
- Ejercicio 2028: Primer periodo sujeto a la ejecución de auditorías de cumplimiento obligatorias bajo el marco reformado.
3. Ejes de ajuste técnico y operativo en el Control Interno
El cumplimiento del Acuerdo 115/2026 exige revisar e intervenir cuatro pilares fundamentales de la arquitectura de cumplimiento corporativo:
A. Documentación e identificación del Beneficiario Controlador
La reforma enfatiza la obligación de documentar de forma exhaustiva la identificación del Beneficiario Controlador y conservar las evidencias probatorias que demuestren el proceso de verificación ante las autoridades competentes.
Este análisis debe contemplar fideicomisos, cadenas de control corporativo, estructuras accionarias complejas y demás figuras jurídicas involucradas. La práctica regulatoria supera la simple recepción de declaraciones juradas, exigiendo un expediente respaldado por información coherente, actualizada y trazable.
B. Enfoque Basado en Riesgo (EBR) y Debida Diligencia Reforzada
La metodología del sujeto obligado debe permitir la clasificación y actualización dinámica del riesgo de la cartera, con base en factores y criterios formalmente documentados de conformidad con la LFPIORPI, sus Reglas de Carácter General y el perfil operativo de la entidad.
Asimismo, debe definir con precisión los supuestos bajo los cuales se activarán las medidas de Debida Diligencia Reforzada (DDR) en función del perfil transaccional, geográfico y corporativo de cada cliente o relación de negocios.
C. Mecanismos automatizados y expedientes digitales
Para la función de monitoreo, la normativa permite la adopción de sistemas informáticos, bases de datos y herramientas tecnológicas adaptadas a la escala y naturaleza de la entidad. En el ámbito de la conservación de expedientes digitales, las organizaciones deben evaluar esquemas de integridad y trazabilidad. La adopción de la NOM-151-SCFI para la conservación de mensajes de datos se perfila como una buena práctica tecnológica y probatoria cuando la naturaleza del documento lo requiera, sin que esto constituya un mandato legal único ni universal para la totalidad de la documentación en materia de PLD.
D. Gestión de alertas y avisos de 24 horas
Se introducen supuestos específicos para la generación de avisos vinculados a operaciones intentadas o indicios de posible ilicitud, sometidos a plazos especiales de presentación de 24 horas. Estas alertas no eximen del cumplimiento de los calendarios ordinarios para la presentación de avisos reportables, obligando a las empresas a establecer protocolos internos de detección e información inmediata.
4. Marco sancionatorio y responsabilidad de la persona jurídica
Al evaluar el alcance de la reforma en el ámbito de la gobernanza corporativa, resulta indispensable distinguir entre las consecuencias administrativas y la responsabilidad penal institucional.
Sanciones Administrativas bajo la LFPIORPI
Las sanciones previstas por la ley se gradúan en función de la conducta omisiva, la gravedad del incumplimiento y el valor oficial de la Unidad de Medida y Actualización (UMA):
- Infracciones de carácter formal u omisiones menores: rangos de 200 a 2,000 UMAs o de 2,000 a 10,000 UMAs.
- Incumplimientos de gravedad (como omisión de avisos o inobservancia de prohibiciones legales directas): sanciones de 10,000 a 65,000 UMAs por cada infracción, pudiendo superar los $7.6 millones de pesos conforme a las actualizaciones vigentes.
Riesgo Penal e Inobservancia del Debido Control (CNPP)
Frente a delitos tipificados en los artículos 400 Bis y 400 Bis 1 del Código Penal Federal (Operaciones con Recursos de Procedencia Ilícita) cometidos con la intervención, autorización o beneficio de una organización, el Artículo 421 del Código Nacional de Procedimientos Penales (CNPP) establece el marco procesal para determinar la responsabilidad penal de las personas jurídicas.
Dicho precepto no configura el delito por sí mismo ni genera una transferencia automática de responsabilidad a los administradores; no obstante, hace indispensable que la entidad pueda acreditar la existencia, adecuación y operatividad real de sus controles organizacionales internos, atendiendo a las circunstancias del caso y la normativa aplicable.
5. Acciones prioritarias para la Alta Dirección
Las organizaciones sujetas al régimen de Actividades Vulnerables deben estructurar de inmediato las siguientes medidas institucionales:
- Revisión del texto oficial: Descargar y analizar el Acuerdo 115/2026 publicado en el DOF.
- Diagnóstico de aplicabilidad: Determinar los artículos transitorios y exigencias específicas aplicables al sector de la entidad.
- Diagnóstico GAP: Ejecutar una auditoría de brechas en el sistema de control interno antes de noviembre de 2026.
- Calendarización formal: Someter a aprobación del Consejo de Administración la Hoja de Ruta para la actualización de la matriz EBR, expedientes KYC y herramientas tecnológicas.
6. Hoja de ruta estratégica por fases
- Fase 1 (Agosto – Noviembre 2026): Evaluación del marco regulatorio, análisis de disposiciones transitorias y ejecución del Diagnóstico GAP sobre los controles vigentes.
- Fase 2 (Antes del 1 de marzo de 2027): Reestructuración de la metodología EBR, actualización del Manual de Políticas Internas y adecuación de los expedientes de conocimiento del cliente y Beneficiario Controlador.
- Fase 3 (Antes del 1 de junio de 2027): Parametrización y pruebas de estrés de los sistemas y mecanismos automatizados de monitoreo y generación de alertas.
- Fase 4 (Ejercicio 2028): Ejecución de la primera auditoría de cumplimiento obligatoria bajo el nuevo régimen regulatorio.
Conclusión
El Acuerdo 115/2026 trasciende el mero trámite administrativo para consolidar una etapa de mayor rigor metodológico y tecnológico en la prevención de riesgos regulatorios en México. La protección del valor patrimonial e institucional de las empresas exige la adopción anticipada de un plan de adecuación progresivo que garantice la continuidad de las operaciones y la seguridad jurídica del Gobierno Corporativo.
Asesoría Especializada en Ingeniería Legal B2B
Audita-PLD | Auditores & Consultores
En Audita-PLD acompañamos a las empresas en el diseño, reestructuración e implementación de sus matrices EBR, manuales de cumplimiento y diagnósticos de adecuación normativa conforme a los lineamientos emitidos por las autoridades reguladoras en México.
Solicite un Diagnóstico GAP para su organización en: www.audita-pld.com
