Reforma antilavado de 2026: qué cambia y fechas clave

Entre los principales cambios destacan

• Clasificación de clientes por nivel de riesgo.
• Definición y seguimiento del perfil transaccional.
• Monitoreo de operaciones y detección de movimientos inusuales.
• Expedientes de clientes actualizados.
• Uso de mecanismos automatizados y sistemas de alertas.
• Mayor conservación de información y evidencia de cumplimiento.

Expediente único de identificación

Para las empresas que otorgan créditos y estén sujetas a estas obligaciones, contar con un core bancario puede facilitar el seguimiento de clientes, créditos, pagos y operaciones necesarias para mantener mayor trazabilidad.

Quienes realizan Actividades Vulnerables deben integrar un expediente único de identificación por cada cliente o usuario. Los documentos específicos cambian según se trate de una persona física, moral, nacional o extranjera.

Entre la información que se puede integrar al expediente, se encuentra:

• Nombre o razón social del cliente.
• Identificación oficial y datos de identificación.
• CURP y RFC.
• Domicilio y comprobante, en los casos establecidos.
• Actividad, ocupación o giro del negocio cuando exista una relación de negocios.
• Datos del representante o apoderado legal, si participa en la operación.
• Información del beneficiario controlador y, cuando corresponda, documentación para identificarlo.

Conservación de la información

La información puede conservarse de manera física o electrónica, siempre que mantenga condiciones de integridad, disponibilidad, auditabilidad y confidencialidad.

Clasificación de clientes por nivel de riesgo

Las empresas que realizan Actividades Vulnerables deberán contar con un modelo para clasificar a cada cliente según su nivel de riesgo, considerando como mínimo tres categorías: bajo, medio y alto.

Para determinarlo pueden analizar factores como:

• Actividad o giro del cliente.
• Nacionalidad y lugar de residencia.
• Origen de sus ingresos o recursos.
• Monto, frecuencia y tipo de operaciones.
• Número de operaciones y contrapartes.
• Cambios en su comportamiento transaccional.

Revisión del nivel de riesgo

Además, el nivel de riesgo deberá revisarse al menos cada seis meses, con mayor frecuencia cuando el cliente represente un riesgo más alto. El monitoreo también debe permitir detectar operaciones que se aparten de su comportamiento habitual y actualizar su clasificación cuando sea necesario.

Perfil transaccional y monitoreo

El perfil transaccional describe cómo se espera que opere normalmente cada cliente. Para definirlo, deben considerarse datos como el monto, número y frecuencia de sus operaciones, así como el origen y destino de los recursos. Su importancia está en poder detectar cuando el comportamiento real del cliente cambia o se aleja de lo esperado.

Las empresas que realizan Actividades Vulnerables deberán:

• Definir un perfil inicial con la información del cliente.
• Comparar sus operaciones reales contra ese comportamiento esperado.
• Incorporarlo a un sistema de alertas.
• Evaluarlo al menos cada seis meses y actualizarlo cuando sea necesario.
• Aplicar un monitoreo más estricto cuando se trate de clientes de mayor riesgo.

Relación con un core bancario

En este punto, un core bancario resulta especialmente útil porque permite relacionar el expediente del cliente con sus créditos, pagos y movimientos, facilitando el seguimiento de cambios en su comportamiento.

Mecanismos automatizados

Las empresas que realizan Actividades Vulnerables deberán contar con mecanismos automatizados que permitan:

• Conservar y actualizar los expedientes de clientes.
• Concentrar las operaciones de cada cliente para facilitar su monitoreo.
• Detectar movimientos que se aparten de su perfil transaccional.
• Clasificar y actualizar el nivel de riesgo de cada cliente.
• Mantener el historial de cambios en su riesgo y comportamiento transaccional.
• Generar alertas para clientes de alto riesgo, Personas Políticamente Expuestas y otras operaciones que requieran mayor revisión.
• Monitorear determinados usos de efectivo y metales preciosos, cuando resulte aplicable.

Fechas de implementación

La implementación de la reforma será gradual. Estas son las principales fechas que deben considerar quienes realizan Actividades Vulnerables:

1. 30 de noviembre de 2026

   Entra en vigor el Acuerdo 115/2026.

2. 1 de marzo de 2027

   Deberá estar disponible la evaluación basada en riesgos y el Manual de Políticas Internas actualizado. Desde esta fecha también aplican las nuevas disposiciones sobre clasificación de riesgo, conocimiento del cliente y beneficiario controlador.

3. 1 de junio de 2027

   Fecha límite para contar con los mecanismos automatizados requeridos para monitorear clientes y operaciones.

4. Durante 2027

   Deberá realizarse el primer periodo anual de capacitación en materia de prevención de lavado de dinero.

5. 1 de enero de 2028

   Comienza el primer periodo anual de revisión de auditoría.