El marco mexicano de prevención de lavado de dinero aplicable a las Actividades Vulnerables ha tenido cambios relevantes entre 2025 y 2026. A la reforma de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada el 16 de julio de 2025, se sumaron la reforma a su Reglamento del 27 de marzo de 2026 y, más recientemente, la modificación a las Reglas de Carácter General publicada en el Diario Oficial de la Federación (DOF) el 7 de agosto de 2026.
Para las empresas que otorgan financiamiento fuera del régimen propio de las entidades financieras, estos cambios son especialmente relevantes porque refuerzan las obligaciones de identificación, conocimiento del cliente, evaluación de riesgos, documentación y monitoreo.
¿Por qué importa a las empresas que otorgan crédito?
El artículo 17, fracción IV, de la LFPIORPI considera Actividad Vulnerable el ofrecimiento habitual o profesional, por sujetos distintos de las entidades financieras, de operaciones de mutuo o de garantía, así como el otorgamiento de préstamos o créditos, con o sin garantía.
¿Qué significa realizar una Actividad Vulnerable?
La LFPIORPI denomina Actividades Vulnerables a determinadas actividades económicas que, por sus características, pueden presentar un mayor riesgo de ser utilizadas para operaciones con recursos de procedencia ilícita. Por ello, las personas o empresas que realizan alguna de las actividades señaladas expresamente por la Ley pueden quedar sujetas a obligaciones específicas de identificación de clientes, conservación de información y, cuando corresponda, presentación de avisos ante la autoridad.
Entre estas actividades se encuentra el otorgamiento habitual o profesional de préstamos o créditos por empresas que no tienen el carácter de entidad financiera. Esto significa que una empresa no necesita ser un banco o dedicarse exclusivamente al financiamiento para que deba analizar si su modelo de negocio encuadra en esta disposición.
Por ello, una empresa que otorgue crédito de manera habitual o profesional debe analizar si se encuentra comprendida en este régimen. La determinación debe realizarse caso por caso, considerando la naturaleza de la entidad y la regulación que le resulte aplicable.
Para esta actividad, la identificación del cliente no depende de alcanzar el umbral de aviso. El umbral previsto en la LFPIORPI determina cuándo debe presentarse el aviso correspondiente, pero no elimina las obligaciones de identificación que resulten aplicables desde la realización de la actividad.
Tres cambios regulatorios que deben leerse en conjunto
La reforma de 2025 amplió y reforzó las obligaciones previstas en la LFPIORPI, incluyendo medidas relacionadas con un enfoque basado en riesgo, capacitación, mecanismos automatizados, auditoría y conservación de información.
Posteriormente, la reforma al Reglamento publicada el 27 de marzo de 2026 desarrolló aspectos operativos del régimen, entre ellos disposiciones relativas a Personas Políticamente Expuestas (PEP) y a la identificación y verificación de clientes o usuarios.
Finalmente, el 7 de agosto de 2026 se publicaron modificaciones a las Reglas de Carácter General. Con ello se desarrollan con mayor detalle diversas obligaciones introducidas por la Ley y el Reglamento y se establecen fechas específicas de implementación. Por esta razón, no todas las obligaciones deben tratarse como si fueran exigibles en la misma fecha.
Principales obligaciones y calendario de implementación
- Enfoque Basado en Riesgo (EBR). Las empresas obligadas deberán contar con una metodología documentada para identificar, analizar y evaluar sus riesgos, considerando factores como clientes, países o áreas geográficas, productos, servicios, operaciones y canales. Las fechas de implementación deben revisarse conforme a los artículos transitorios de las Reglas.
- Clasificación y conocimiento del cliente. El marco refuerza la necesidad de clasificar clientes conforme a su nivel de riesgo, conocer su actividad y mantener información que permita identificar comportamientos u operaciones que se aparten de su perfil esperado.
- Personas Políticamente Expuestas. Se fortalecen los controles para determinar si una persona cliente o usuaria es PEP y, cuando corresponda, aplicar medidas adicionales conforme a su nivel de riesgo.
- Beneficiario Controlador. La identificación del Beneficiario Controlador requiere un procedimiento documentado que permita determinar a la persona física que, en última instancia, ejerce propiedad o control en los términos previstos por la regulación.
- Manual de políticas internas. Las políticas y procedimientos internos deberán reflejar las obligaciones aplicables y los controles de identificación, evaluación de riesgo, monitoreo, conservación de información y demás medidas de cumplimiento.
- Mecanismos automatizados. Las Reglas desarrollan funciones que deberán soportar los sistemas utilizados por los sujetos obligados, entre ellas la integración de expedientes, consolidación de operaciones, clasificación de riesgo y generación de alertas.
- Capacitación. El personal involucrado en el cumplimiento deberá recibir capacitación periódica conforme a los requisitos y calendario previstos por la regulación.
- Auditoría. El régimen incorpora revisiones periódicas del cumplimiento. Su alcance, modalidad y fechas deberán determinarse conforme al nivel de riesgo y a las disposiciones aplicables.
La fecha de publicación no es la fecha de cumplimiento de todo
Un punto especialmente importante para las empresas es distinguir entre la entrada en vigor general de las modificaciones a las Reglas y las fechas particulares previstas para determinadas obligaciones. El Acuerdo publicado el 7 de agosto de 2026 contempla un esquema de implementación escalonada.
En consecuencia, los equipos legales, de cumplimiento y tecnología deben construir un calendario de implementación propio y verificar, para cada obligación, la fecha establecida en las disposiciones transitorias. Esto evita tanto implementar controles fuera de contexto como asumir que una obligación futura todavía no requiere preparación.
Identificación del cliente: donde cumplimiento y tecnología se conectan
La identificación y verificación del cliente es uno de los puntos de partida del sistema de cumplimiento. Si la información de identidad es incompleta, inconsistente o difícil de consultar, también se debilitan procesos posteriores como la clasificación de riesgo, el monitoreo y la integración del expediente.
Para las empresas que originan crédito de forma digital, herramientas de validación de identidad, lectura de documentos, biometría y consulta de fuentes autorizadas pueden apoyar la integración de procesos más consistentes y trazables. La tecnología, sin embargo, no sustituye la determinación jurídica de las obligaciones ni las políticas internas que cada sujeto obligado debe implementar.
¿Qué debería revisar hoy una empresa que otorga crédito?
- Si su modelo de negocio se encuentra comprendido dentro de las Actividades Vulnerables previstas en la LFPIORPI o sujeto a un régimen financiero distinto.
- Si identifica y verifica a sus clientes conforme a los requisitos aplicables y conserva evidencia suficiente del proceso.
- Si cuenta con mecanismos para conservar la información y documentación durante el plazo legal aplicable.
- Si puede consolidar y monitorear operaciones por cliente y generar alertas cuando corresponda.
- Si tiene identificado un calendario de implementación para las obligaciones que entrarán en operación de forma escalonada durante 2026, 2027 y ejercicios posteriores.
Preguntas frecuentes
¿Todas las empresas que otorgan crédito están sujetas a la LFPIORPI? No necesariamente. La fracción IV del artículo 17 se refiere al otorgamiento habitual o profesional de préstamos o créditos por sujetos distintos de las entidades financieras. La situación regulatoria de cada empresa debe analizarse de forma individual.
¿La identificación del cliente solo es obligatoria cuando se supera el umbral de aviso? No. El umbral de aviso y las obligaciones de identificación son conceptos distintos. Superar el umbral determina la obligación de presentar el aviso correspondiente, pero la identificación debe atenderse conforme a las reglas aplicables a la actividad.
¿Las nuevas obligaciones son exigibles todas desde la publicación de las Reglas? No. Las modificaciones publicadas el 7 de agosto de 2026 contemplan entrada en vigor y fechas de implementación diferenciadas. Es indispensable revisar los artículos transitorios para determinar cuándo resulta exigible cada obligación.
En resumen
Las reformas de 2025 y 2026 elevan el estándar de cumplimiento para quienes realizan Actividades Vulnerables. Para las empresas que otorgan crédito, el reto no consiste únicamente en identificar a sus clientes, sino también en contar con información confiable y trazable, aplicar controles acordes con el riesgo y preparar oportunamente los procesos y sistemas necesarios para atender el nuevo marco regulatorio.
En este contexto, la tecnología puede ser un aliado para fortalecer determinados procesos de cumplimiento. Las soluciones tecnológicas de equality pueden apoyar en componentes específicos, como la validación de identidad y la gestión de información, contribuyendo a procesos más consistentes, trazables y eficientes.
La tecnología, sin embargo, es solo una parte de una estrategia integral de cumplimiento. Las soluciones de equality no sustituyen las obligaciones legales de cada empresa ni la asesoría de sus equipos jurídicos o de cumplimiento. La aplicación de la LFPIORPI, su Reglamento y sus Reglas de Carácter General deberá determinarse de acuerdo con el modelo de negocio, las operaciones y las características particulares de cada organización.
Conoce cómo las soluciones de equality pueden integrarse a tus procesos y ayudarte a fortalecer algunos de los controles asociados al cumplimiento regulatorio.
Fuentes oficiales
- Diario Oficial de la Federación, reforma a la LFPIORPI publicada el 16 de julio de 2025.
- Diario Oficial de la Federación, Decreto de reforma al Reglamento de la LFPIORPI publicado el 27 de marzo de 2026.
- Diario Oficial de la Federación, Acuerdo por el que se modifican las Reglas de Carácter General de la LFPIORPI, publicado el 7 de agosto de 2026.
