Modificación a Reglas de Carácter General LFPIORPI

Con fecha 7 de agosto 2026 se publicó el acuerdo 115/2026 por el que se modifican las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita[cite: 21]. Dichas modificaciones son consecuencia directa de la reforma a la ley de referencia publicada en el DOF el 16 de julio 2025[cite: 21].

A continuación se presenta un resumen que tiene como finalidad darles a conocer de manera general las modificaciones y obligaciones más relevantes con impactos inmediatos y mediatos, con la finalidad de que anticipen su implementación y eviten contratiempos futuros[cite: 21].

1.- El acuerdo incorpora y enfatiza un enfoque basado en riesgos, identificando de manera precisa el tipo de riesgo por cliente, a través del diseño de metodologías incorporadas a un manual de políticas internas[cite: 21].

2.- Obligaciones relevantes:

• a) Diseñar e implementar una metodología para llevar a cabo una evaluación de Riesgos derivado de los actos u operaciones que realicen, así como de las personas Clientes o Usuarias con quienes lleven a cabo dichos actos u operaciones, sus transacciones y canales de envío o distribución[cite: 21]. Así mismo, deberán contar con un modelo de evaluación de Riesgos, que deberá ser coherente con la metodología antes señalada, el cual deberá estar establecido en su Manual de Políticas Internas[cite: 21]. Debiendo establecer, al menos, tres clasificaciones, consistentes en Grados de Riesgo bajo, medio y alto, pudiendo establecer tantos Grados de Riesgo intermedios como consideren necesario[cite: 21].
• b) Identificar y conocer de manera directa a su Cliente o Usuaria, para lo cual elaborarán y observarán los criterios, medidas y procedimientos internos que se requieran para su debido cumplimiento y los relativos a la verificación y actualización de los datos proporcionados por los Clientes o Usuarias[cite: 21]. El expediente del cliente debe permitir reconstruir operaciones, vincularse con el perfil de la operación y el grado de riesgo[cite: 21].
• c) Deberán contar con un Manual de Políticas Internas en el que desarrollen sus políticas y lineamientos de identificación y conocimiento de Clientes o Usuarias, así como los criterios, medidas y procedimientos internos que deberá adoptar para dar cumplimiento a lo previsto en las presentes reglas, la Ley, su Reglamento, y demás disposiciones que de ellas emanen y para gestionar los Riesgos a que está expuesta de acuerdo con los resultados de la implementación de la metodología para la evaluación de riesgos y ponerlo a disposición de la UIF o del SAT cuando se lo requieran[cite: 21]. Además, deberán establecer en su Manual de Políticas Internas los criterios, medidas y procedimientos internos con los cuales realizarán la identificación del Beneficiario Controlador[cite: 21].
• d) Deberán Identificar y revisar el listado de personas políticamente expuestas[cite: 21].
• e) Deberán implementar programas de capacitación, dirigidos a los miembros de sus respectivos consejos de administración, al administrador único o su equivalente, directivos, funcionarios, a la persona Representante Encargada de Cumplimiento y, en todo caso, a sus empleados que laboren en áreas de atención al público, participen en la identificación o conocimiento del Cliente o Usuaria, en el envío de Avisos o realice actividades de auditoría[cite: 21].
• f) Contar con mecanismos automatizados que les permitan llevar a cabo un monitoreo permanente de los actos u operaciones que realicen con las personas Clientes o Usuarias para identificar aquellas que no se encuentren dentro del perfil transaccional de las personas Clientes o Usuarias[cite: 21]. Dichos mecanismos también deben permitir dar un seguimiento intensificado a las personas Clientes o Usuarias que sean consideradas Personas Políticamente Expuestas o de alto Riesgo[cite: 21].
• g) Deberán mantener medidas de control que incluya la revisión de un auditor ya sea de su área de auditoría interna, o bien, de una persona auditora externa independiente, que evalúe y dictamine el año de calendario de que se trate[cite: 21]. Si el riesgo es bajo o medio, puede ser interna y si es alto, debe ser externa[cite: 21].

3.- Vigencia y periodo de aplicación

• a) Las modificaciones a las reglas entran en vigor el 20 de noviembre 2026[cite: 21].
• b) La evaluación con un enfoque basado en Riesgo, deberá estar a disposición de las autoridades competentes, previo requerimiento, a partir del primero de marzo de dos mil veintisiete; la información y factores que se hayan considerado para elaborarla corresponderán al año inmediato anterior[cite: 21].
• c) La vigencia para las principales obligaciones (identificación del clientes, clasificación del grado de riesgo y beneficiario controlador) será a partir del primero de marzo de dos mil veintisiete[cite: 21].
• d) Los procedimientos de selección de personal, deberán aplicarse a las nuevas contrataciones realizadas a partir del primero de marzo de dos mil veintisiete[cite: 21].
• e) El primer periodo anual de capacitación, comprenderá del primero de enero al treinta y uno de diciembre de dos mil veintisiete[cite: 21].
• f) El primer periodo de revisión de auditoría iniciará el primero de enero de dos mil veintiocho y concluirá el treinta y uno de diciembre del mismo año[cite: 21].
• g) Se deberá contar con los mecanismos automatizados a más tardar el primero de junio de dos mil veintisiete y deberá contener la información de los actos u operaciones realizados a partir de esa fecha[cite: 21].
• h) La consulta de las personas políticamente expuestas (PPE) podrá realizarse nueve meses después de que entre en vigor el acuerdo (20 de agosto 2027)[cite: 21].