La Secretaría de Hacienda y Crédito Público (SCHP) federal endureció las reglas antilavado para quienes realizan Actividades Vulnerables en México.

El nuevo esquema obliga a evaluar riesgos, clasificar clientes, monitorear sus operaciones, identificar beneficiarios controladores y reforzar controles sobre Personas Políticamente Expuestas.

El Acuerdo 115/2026 modifica las reglas de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita y coloca el análisis de riesgo en el centro del cumplimiento.

La disposición señala que los sujetos obligados deberán “diseñar e implementar una metodología” para evaluar los riesgos derivados de sus operaciones y de las personas con quienes hacen negocios.

En términos prácticos, ya no bastará con integrar expedientes y presentar avisos. Los negocios y profesionistas sujetos a la legislación deberán conocer mejor a sus clientes y demostrar que tienen controles para detectar operaciones que se aparten de su comportamiento habitual.

¿Qué tendrán que evaluar?
La metodología deberá identificar los riesgos asociados, al menos, con:

los actos u operaciones que realizan;

el tipo de clientes o usuarios;

los países y zonas geográficas involucradas;

las transacciones;

y los canales utilizados para realizar las operaciones.

Además, cada factor deberá medirse y relacionarse con mecanismos internos para disminuir el riesgo.

El Acuerdo ordena “identificar los Mitigantes” y tomar en cuenta las políticas, criterios, medidas y procedimientos que realmente se encuentren implementados.

Los resultados tampoco podrán quedar archivados indefinidamente. Si se detectan riesgos nuevos o mayores, deberán modificarse los controles y procedimientos internos. La documentación relacionada con esta evaluación tendrá que conservarse durante al menos diez años.

Cada cliente tendrá un nivel de riesgo
Uno de los cambios más relevantes será la obligación de clasificar individualmente a los clientes.

Como mínimo existirán tres categorías:

riesgo bajo;

riesgo medio;

riesgo alto.

El Acuerdo establece expresamente “al menos, tres clasificaciones, consistentes en Grados de Riesgo bajo, medio y alto”. La clasificación deberá revisarse por lo menos cada seis meses y con mayor frecuencia cuando el nivel de riesgo sea más elevado.

Para definir ese nivel deberán analizarse tanto las características del cliente como su comportamiento: antecedentes, actividad económica, residencia, fuentes de ingreso, volumen y frecuencia de operaciones, número de contrapartes y origen y destino de los recursos.

También deberán saber cómo opera normalmente cada cliente
Las nuevas reglas introducen un seguimiento más detallado del perfil transaccional.

Esto significa que los sujetos obligados deberán conocer, entre otros elementos:

cuánto opera normalmente una persona;

con qué frecuencia;

de dónde provienen los recursos;

hacia dónde se dirigen;

y qué actividad económica desarrolla.

La regulación define el perfil transaccional como los elementos que permiten identificar “el comportamiento esperado” de los actos u operaciones del cliente.

Ese perfil deberá revisarse al menos cada seis meses. Además, será obligatorio implementar un sistema de alertas para detectar cambios relevantes en el comportamiento de los clientes.

Si una persona es clasificada como de riesgo alto, la vigilancia será mayor: se deberá solicitar más información sobre su actividad, origen y destino de recursos y aplicar un monitoreo más estricto.

Más controles para Personas Políticamente Expuestas
Las Personas Políticamente Expuestas, conocidas como PEP, tendrán un tratamiento especial.

Para las PEP mexicanas deberán considerarse factores adicionales para determinar si su comportamiento financiero “corresponde razonablemente con los ingresos, funciones, nivel y responsabilidad” que tienen o tuvieron.

Las PEP extranjeras deberán considerarse directamente como clientes de riesgo alto. La misma clasificación podrá aplicarse a personas vinculadas con determinadas jurisdicciones consideradas de mayor riesgo.

La definición de PEP incluye a personas que desempeñan o desempeñaron funciones públicas relevantes, como jefes de Estado o de gobierno, líderes políticos, altos funcionarios gubernamentales, judiciales o militares, ejecutivos de empresas estatales y miembros importantes de partidos políticos u organizaciones internacionales.

Identificar al verdadero dueño será obligatorio
La reforma también fortalece la identificación del Beneficiario Controlador, es decir, la persona física que finalmente posee, controla o se beneficia de una operación o de una persona moral.

Para identificarlo deberá seguirse un orden:

localizar a quien posea directa o indirectamente 25% o más del capital;

si no es posible, identificar a quien ejerza el control por otros medios;

y, en última instancia, ubicar al funcionario administrativo de mayor jerarquía o alta dirección.

El Acuerdo obliga además a “documentar el procedimiento seguido para la identificación del Beneficiario Controlador” y mantener actualizada la información durante toda la relación de negocios.

Cumplimiento deberá quedar escrito en un manual
Los sujetos obligados tendrán que concentrar sus controles en un Manual de Políticas Internas.

Ahí deberán establecer cómo identificarán y conocerán a sus clientes, cómo medirán los riesgos, qué controles utilizarán y bajo qué criterios podrán iniciar, limitar o terminar una relación comercial.

La metodología de riesgos deberá estar contenida en ese Manual o en otro documento formal que describa los procesos de “identificación, análisis, entendimiento, medición y mitigación de los Riesgos”.

Sistemas de alertas y monitoreo automatizado
La reforma también obliga a utilizar mecanismos automatizados para revisar continuamente las operaciones.

No necesariamente tendrán que ser plataformas sofisticadas. El propio Acuerdo permite utilizar desde sistemas informáticos especializados hasta “hojas de cálculo, bases de datos u otros medios equivalentes”, siempre que cumplan las funciones requeridas y puedan ser revisados por la autoridad.

Estos mecanismos servirán, entre otras cosas, para dar seguimiento a operaciones acumuladas, identificar movimientos fuera del perfil esperado y generar alertas.

Pasa del expediente al monitoreo permanente
La reforma cambia el enfoque del régimen antilavado para las Actividades Vulnerables.

El cumplimiento dejará de concentrarse solamente en pedir documentos, identificar al cliente y presentar avisos. Ahora los sujetos obligados deberán poder demostrar que:

conocen a sus clientes;

saben quién controla realmente las operaciones;

clasifican el riesgo de cada persona;

conocen su comportamiento transaccional;

detectan movimientos atípicos;

aplican controles adicionales cuando aumenta el riesgo;

y conservan evidencia de todo el proceso.

Hacienda está llevando a las Actividades Vulnerables hacia un modelo de vigilancia continua y prevención basado en riesgos, con controles más cercanos a los que desde hace años se exigen al sistema financiero