(En vigor 30 de
noviembre de 2026, salvo las excepciones previstas)
Artículo 2.
-Se
reforma esta regla para adicionar la definición de “Instituciones del Sistema
Financiero, entendiéndose para ello a las
instituciones de crédito; almacenes generales de depósito; casas de cambio;
sociedades financieras de objeto múltiple; uniones de crédito; sociedades
financieras populares; sociedades cooperativas de ahorro y préstamo; casas de
bolsa; fondos de inversión; administradoras de fondos para el retiro;
instituciones de seguros, instituciones de fianzas y sociedades mutualistas de
seguros; centros cambiarios; transmisores de dinero; asesores en inversión e instituciones
de tecnología financiera.
Artículo 3 frac. IV inciso ii). – En relación a la definición del
Beneficiario controlador se modifica este artículo para indicar que se entiende
que una persona o grupo de personas controla de manera efectiva en última
instancia a una persona moral cuando, a través de la titularidad de valores,
por contrato o cualquier otro acto, en términos de estas reglas, puede mantener la titularidad de los derechos que
permitan, directa o indirectamente, ejercer el voto respecto de más del
veinticinco por ciento del capital social, anteriormente mencionaba el
cincuenta por ciento del capital social.
También se elimina la definición
de “Dueño beneficiario” y se adicionan 8 definiciones técnicas con conceptos
indispensables para interpretar las nuevas disposiciones por ejemplo la
definición de "Riesgo" o "Manual de políticas internas".
Artículo 4: Este artículo
indica que las personas morales deberán utilizar su Firma Electrónica Avanzada
y no la de su representante legal, ahora se modifica para indicar que los fideicomisos
también tendrán que acatar este requisito, así mismo, se adicionan los incisos
III y IV para indicar qué información deberán ingresar los fideicomisos, así
como otras figuras jurídicas para darse de alta o baja del padrón de quienes
realicen actividades vulnerables.
Artículos 5 y 5 Bis: – Se
reforma para indicar que el SAT una vez que reciba la información a que se
refiere el artículo 4 de estas reglas, deberá comprobar que la documentación
señalada en el Capítulo II Bis de las mismas, esté completo antes de expedir el
acuse electrónico de alta y registro, así mismo, se indica que las
notificaciones que recibirá quien realice el registro, consistirán en darles a conocer documentos
digitales, mediante el Portal de Internet, tales como requerimientos,
citatorios, solicitudes de información, prevenciones, resoluciones
administrativas, entre otros.
Artículo 6: Se modifica
para eliminar los párrafos 5 y 6 en los que indicaba que, previo a la
realización de la notificación a quienes realicen Actividades Vulnerables, les
podrían enviar a su correo electrónico, las alertas de notificación de un
documento emitido por la autoridad competente a efectos de que realice su
revisión en el Portal de Internet. Así mismo se adiciona que:
·
Las notificaciones electrónicas se tendrán por
enviadas y recibidas a través del Portal en Internet cuando se genere la
constancia que demuestre la fecha y hora en que fueron remitidas a quien
realice la Actividad Vulnerable
·
Quien realice Actividades Vulnerables contará
con tres días hábiles para abrir los documentos digitales pendientes de notificar,
contados a partir del día siguiente a aquél en que fue enviada y recibida la
notificación electrónica, y se tendrá por realizada al cuarto día hábil,
contado a partir del día siguiente a aquél en que le fue enviada, generándose
la constancia documental correspondiente.
·
Quien
realice Actividades Vulnerables deberá consultar al menos una vez al día, en
caso de estar imposibilitados para consultar o para abrir los documentos, lo
harán del conocimiento de la UIF, o del SAT a más tardar dentro de los tres
días hábiles siguientes a aquel en que ocurra dicho impedimento, a través del
medio que se señale en el portal de Internet para que le sea notificado por
medio de alguna otra forma establecida en la Ley Federal de Procedimiento
Administrativo.
La SHCP deberá
implementar los mecanismos tecnológicos necesarios para la operación del
sistema de notificaciones electrónicas dentro de los ocho meses siguientes al
que entre en vigor este acuerdo.
Artículo 8 y 8 Bis. -Las
personas que se hayan registrado y dado de alta y que por cualquier
circunstancia dejen de realizar Actividades vulnerables, deberán darse de baja.
En caso de que se encuentren imposibilitadas para realizar la baja, podrá
solicitar al SAT que la realice en su lugar, proporcionando información y
documentación que soporte la imposibilidad para realizar su propia baja.
Artículos 9: Se modifica para
adicionar que el SAT también podrá solicitar imágenes como medio para
corroborar y acreditar la información de su alta y registro. También se
establece en diez días hábiles (antes cinco) los plazos para que el SAT atienda
el requerimiento, y en cinco días hábiles (antes tres) como prórroga a
solicitud del interesado. El SAT podrá basarse en la información con la que
cuente, la que le sea proporcionada por dependencias y entidades de la
administración de los tres órdenes de gobierno, organismos constitucionales
autónomos, y la que obtenga por cualquier otro medio.
Artículo 10: Se modifica
para indicar que tanto la aceptación como el rechazo de la asignación de la
persona encargada de cumplimiento a las obligaciones relacionadas con las
Actividades Vulnerables, será notificada por el SAT a quien realizó dicha
designación a través de los medios electrónicos, dentro de los diez días
hábiles siguientes a la recepción de la aceptación o rechazo.
Artículos 10 Bis, al 10 quinquies:
Se modifica el capítulo II Bis “ALTA Y REGISTRO DE PROVEEDORES DE SERVICIOS
DE ACTIVOS VIRTUALES” para actualizar la supervisión operativa sobre las
plataformas y proveedores que enajenan o custodian activos virtuales en el país
(criptomonedas). Deberán entregar y actualizar la información que se solicita
en este mismo artículo dentro de los seis meses contados a partir de la entrada
en vigor de este acuerdo.
Artículos 10 Sexies y 10
Sexies 1: Se adiciona el capítulo II Ter “ALTA Y REGISTRO DE QUIENES ACTUÉN
POR MEDIO DE FIDEICOMISOS Y OTRAS FIGURAS JURÍDICAS” referente al alta y
registro de las mismas, obligando a reportar datos de cada integrante en
formato estructurado XML, así mismo se designa al asociante como responsable
del trámite usando la e. Firma de la Asociación en Participación.
Artículo 10 Septies y 10 Septies
1 al Septies 6 y segundo transitorio:
Se adiciona el Capítulo II Quárter “ENFOQUE BASADO EN RIESGOS” para indicar que
quienes realicen Actividades Vulnerables deberán diseñar e implementar una
metodología para llevar a cabo una evaluación de Riesgos derivado de los actos
u operaciones que realicen en términos del artículo 17 de la Ley, así como de
las personas clientes o usuarios con quienes lleven a cabo dichos actos u
operaciones, sus transacciones y canales de envío o distribución, el cual
deberá estar establecido en su Manual de Políticas Internas o en algún otro
manual. También deberán llevar a cabo una evaluación de Riesgos a los que se
encuentren expuestos, antes de implementar o poner a disposición nuevos medios,
canales, modalidades, productos o servicios o antes de dirigir la Actividad
Vulnerable a nuevos tipos de Clientes o Usuarios. El artículo 1 detalla los
requisitos que deberán cumplir para el diseño de la metodología de evaluación
de riesgo a los que se encuentren expuestos. La documentación se deberá
conservar por lo menos 10 años. (en vigor a partir del primero de marzo de 2027
para poner a disposición de la autoridad competente con información del 2026).
Artículo 12: En relación a
la identificación de la persona cliente o usuaria, se modifica para indicar que
en caso de que el Cliente o Usuaria sea persona moral o fideicomiso, quienes
realicen las Actividades Vulnerables recabarán los datos establecidos en los
numerales i), ii), iv), y ix del inciso a) del anexo 3 de las presentes reglas
en todos los casos. Se modifica también para incluir a los archivos
electrónicos como medio para conservar los datos y documentos que deben formar
parte de los expedientes de identificación de Clientes o Usuarias.
Artículo 17: Se modifica
para indicar que en los casos de Quienes realicen Actividades Vulnerables que
están obligados a solicitar a los Clientes o Usuarios considerados como de bajo
Riesgo documentos en original de los que se desprendan los datos que
correspondan, ahora también podrán ser en copia certificada por Fedatario
Público.
Artículo 23 Bis al 23 Bis 4:
Se adiciona el capítulo III Bis “CLASIFICACIÓN DEL GRADO DE RIESGO DE LA
PERSONA CLIENTE O USUARIA”. Este capítulo contiene los lineamientos para la
clasificación del grado de riesgo de la persona cliente o usuaria los cuales
indican que quienes realicen actividades vulnerables deberán:
ü Clasificar
a sus clientes o Usuarios por Grado de Riesgo individual, el cual deberá estar
establecido en el manual de Políticas Internas.
ü Establecer
al menos tres clasificaciones, consistentes en Grados de Riesgo bajo, medio y
alto pudiendo establecer tantos Grados de Riesgo intermedios como conmiseren
necesario.
ü Determinar
el grado de Riesgo inicial y posteriormente deberán llevar a cabo la evaluación
cada 6 meses.
ü Deberán
considerar las características inherentes, pudiendo incluir: antecedentes, tipo
de persona, fecha de nacimiento o constitución, giro o actividad, nacionalidad,
lugar de residencia, fuentes de ingreso, así como la naturaleza y propósito de
la relación que tenga con quien realiza la Actividad Vulnerable, entre otros.
ü Deberán
considerar como personas Clientes o Usuarias de Grado de Riesgo alto, al menos
a aquéllas no residentes en territorio mexicano y que se encuentren, estén
vinculados o tengan efectos en los países o jurisdicciones que la legislación
mexicana considera que aplican regímenes fiscales preferentes, así como las
Personas Políticamente Expuestas Extranjeras
Artículo 23 Ter al 23 Ter 5: Se
adiciona el capítulo III Ter “CONOCIMIENTO DE LA PERSONA CLIENTE O USUARIA”,
para indicar los lineamientos para elaborar la política de reconocimiento de
sus Clientes o Usuarios, la cual deberá incluir al menos lo siguiente:
ü Las
políticas, criterios, medidas, procedimientos, controles para mitigar los
Riesgos; Los procedimientos para dar seguimiento y monitorear los actos u
operaciones realizadas con sus Clientes o Usuarias; los conocimientos para el
debido conocimiento del perfil transaccional de cada uno delos clientes o
usuarias; los supuestos en que los actos u operaciones se aparten del Perfil
transaccional de cada uno de sus Clientes o Usuarias y, en caso de cambios
significativos en dicho perfil y los casos en que procede la revisión y
actualización del expediente del Cliente o Usuaria.
ü Criterios
para establecer o modificar el Grado de Riesgo previamente determinado al
Cliente o Usuaria.
ü Para
determinar el Perfil Transaccional de sus clientes o Usuarias, deberán
considerar; la información proporcionada por el cliente o Usuaria o bien, la
que obre en los archivos de quien realice la Actividad Vulnerable; el monto,
número y frecuencia de los actos u operaciones que realice el Cliente o
Usuaria; el origen y destino de los recursos o bienes objeto del acto u
operación; los demás elementos y criterios que determine quien realice la
Actividad Vulnerable para tales efectos.
ü Considerar
durante los primeros seis meses siguientes a aquel en que se llevo a cabo la
operación de que se trate, la información que proporcione cada uno de los
clientes y posteriormente realizar cada seis meses la evaluación de los
Clientes o Usuarias.
ü Implementar
un sistema de alertas que permita el seguimiento y detección oportuna de algún
cambio importante en el comportamiento o perfil transaccional del Cliente o
Usuaria.
ü Cuando
el grado de riesgo sea alto se deberá requerir mayor información sobre la
actividad preponderante del Cliente o Usuaria.
ü En
su caso obtener mayor información de sus principales accionistas o socios,
según corresponda.
ü En
el caso de personas Políticamente Expuestas extranjeras recabar además la
documentación señalada en el Capítulo III de estas reglas.
Artículos 23 Quáter al 23
Quáter 2: se adiciona el capítulo III Quáter “DE LA LISTA DE PERSONAS
POLITICAMENTE EXPUESTAS”, el cual contiene los lineamientos relacionados con
las Personas Políticamente Expuestas. Quienes realicen Actividades Vulnerables
podrán realizar consultas sobre Personas Políticamente Expuestas nacionales,
ingresando a la aplicación Consulta PEP 2.0 dentro de la página oficial de la
UIF con su firma electrónica Avanzada, nueve meses después de que entre en
vigor el presente Acuerdo.
Artículos 23 Quinquies al 23
Quinquies 3: Se adiciona el CAPITULO III QUINQUIES “DEL BENEFICIARIO
CONTROLADOR” para indicar que Quienes realicen Actividades Vulnerables deberán
establecer en su Manual de Políticas Internas los criterios, medidas y
procedimientos internos con los cuales realizarán la identificación del
Beneficiario Controlador a que se refiere el artículo 18 fracción III de la Ley,
para lo cual, se deberá considerar el siguiente orden de prelación:
ü Identificar
a la persona o grupo de personas físicas que directa o indirectamente,
adquieran, sean titulares o posean por cualquier título legal, el 25% o más de
la composición accionaria o parte social del capital social del Cliente o
Usuaria.
ü Identificar
a la persona o personas físicas que tengan el control del Cliente o Usuaria por
otros medios distintos al anterior y sus funciones se encuentren relacionadas
con la estrategia, toma de decisiones y la dirección de las principales
políticas del Cliente o Usuaria.
ü Identificar
a la o las personas físicas que ocupen la posición de funcionario
administrativo de mayor grado o de alta dirección
Se deberá
documentar el procedimiento que se siguió para la identificación del
Beneficiario Controlador y conservar la documentación y registros que lo
sustenten.
En caso de
clientes o Usuarios que sean fidecomisos se considera como beneficiario
controlador a cualquier persona física que, en última instancia, ejerza el
control efectivo sobre el fideicomiso mediante facultades contractuales,
legales o de cualquier otra naturaleza.
Artículo 24 Bis: Establece
las fechas que deberán considerarse para presentar el aviso, además de las
consideradas en los artículos 5 y 24 del reglamento, las fechas del acto y
operación que deberán considerarse para la presentación del aviso de las
actividades considerada en el artículo 17 son las siguientes:
Fracción I.
– JUEGOS CON APUESTAS CONCURSOS Y SORTEOS: La fecha en que se tenga por
liquidada la venta del boleto, ficha o comprobante, o bien se entregue el
premio correspondiente.
Fracción
II. – TARJETAS DE SERVICIO, CRÉDITO Y MONEDEROS ELECTRÓNICOS Y TARJETAS
PREPAGADAS QUE NO SEAN EMITIDAS POR EL SISTEMA FINANCIERO: Inciso a) se
tomará el último día del mes que corresponda al consumo mensual de la tarjeta
de crédito o servicio objeto del aviso, (se entenderá por acto u operación el
gasto mensual acumulado de la tarjeta de servicio o crédito que corresponda).
Inciso b) y c) se tomará aquella en que se tenga por liquidada la emisión,
comercialización o abono a las tarjetas prepagadas o a los instrumentos de
almacenamiento de valores monetarios que sean objeto del aviso y se alcanzó el
umbral del aviso en ambos casos.
Fracción
III. – CHEQUES DE VIAJERO, Fracción V. – SERVICIOS DE CONSTRUCCIÓN, DESARROLLO
O COMERCIALIZACIÓN DE BIENES INMUEBLES O AGENTES INMOBILIARIOS, Fracción VI. –
COMERCIALIZACIÓN DE MATERIALES PRECIOSOS PIEDRAS, RELOJE Y JOYAS, Fracción VII.
– COMERCIALIZACIÓN DE OBRAS DE ARTE, Fracción VIII. – COMERCIALIZACIÓN O
DISTRIBUCIÓN DE VEHICULOS NUEVOS O USADOS, TERRESTRES, AEREOS O MARÍTIMOS:
Aquélla en que se tenga por liquidada el acto u operación y se alcanzó el
umbral de aviso.
Fracción V
Bis. – DESARROLLOS INMOBILIARIOS PARA SU VENTA O RENTA: aquella en que se
recibió y destinó la última aportación a un desarrollo inmobiliario, en el mes
de calendario.
Fracción
IX. – BLINDAJE DE CUALQUIER TIPO: Aquella en que se tenga por liquidado el
pago por el servicio de blindaje y se alcanzó el umbral de aviso.
Fracción X.
– TRASLADO O CUSTODIA DE VALORES: Aquélla en que se tenga por concluido el
servicio de traslado o de custodia y se alcanzó el umbral de aviso.
Fracción XI.
– PRESTACIÓN DE SERVICIOS PROFESIONALES INDEPENDIENTES: Aquella en la que
el prestador del servicio realice la operación financiera en representación o
por instrucción del Cliente o Usuario.
Fracción
XIII. – DONATIVOS: Aquella en la que se recibió el donativo y se alcanzó el
umbral de Aviso.
Fracción
XVI. – INTERCAMBIO DE ACTIVOS VIRTUALES: Aquella en que se tenga por
concluido el acto u operación y se alcanzó el umbral de aviso
Artículos 26 Bis, 26 Bis 1 y
26 Bis 2: Se adicionan para establecer la obligación de enviar un reporte
en un máximo de 24 horas si existen indicios o sospechas extremas de lavado de
dinero o financiamiento al terrorismo, contados a partir de que el sistema
interno detecte la alerta y aun cuando el acto u operación no cumpla con el
monto o condición para que sea objeto de Aviso en términos de la Lay e incluso
cuando no se haya celebrado, siempre que, quien realice la Actividad Vulnerable
cuente con datos que permitan identificar al Cliente o Usuario o a quien
intentó llevar a cabo el acto u operación.
Artículo 36: Se deroga en
su totalidad al quedar sin efectos las modalidades de presentación física o por
medios alternos al Portal en Internet.
Artículo 36 Bis. – Se
adiciona para indicar que en los plazos fijados en días no se contarán los
inhábiles, salvo disposiciones en contrario, además, durante el periodo general
de vacaciones y los días no laborables, no se computarán plazos y términos
legales correspondientes a los actos y trámites relativos a los procedimientos
administrativos que se sustancien ente las unidades administrativas del SAT.
Cuando la persona a la que se le deba dejar citatorio, no acepte recibirlo o se
encuentre cerrado el domicilio, la entrega del citatorio se realizará por instructivo
que se fijará en un lugar visible en dicho domicilio, circunstancias que no
afectará la validez de la notificación, en estos casos en SAT deberá levantar
un acta de hechos.
Artículo 37 y Tercero
transitorio. – Se modifica para indicar que quien realice actividades
vulnerables, a los noventa días naturales de alta y registro referidos en el
artículo 4 de esta regla, deberán contar con un manual de políticas internas en
el que desarrollen sus políticas y lineamientos de identificación y
conocimiento de Clientes o Usuarias, así como los criterios, medidas y
procedimientos internos que deberá adoptar para dar cumplimiento a lo previsto
en las presentes reglas y ponerlo a disposición de la UIF o del SAT cuando se
lo requieran. Así mismo, se enlistan los criterios, medidas y procedimientos
internos y demás información que, por virtud de lo dispuesto en estas reglas,
puedan quedar plasmados en un documento distinto al mencionado. (en vigor a
partir del primero de marzo de 2027 para poner a disposición de las autoridades
competentes previo requerimiento).
Artículo 37 Bis 2. – Se adiciona para indicar que quienes realicen
Actividades Vulnerables y determinen que no llevarán a cabo actos u operaciones
bajo ciertos supuestos, estarán exentos de establecer políticas, criterios,
medidas o procedimientos, siempre que hagan constar dicha circunstancia en el
Manual de Políticas Internas.
Artículos 38 Bis, 38 Bis 1 y
38 Bis 2: Se adiciona el CAPITULO XI “DE LOS MECANISMOS DE PREVENCIÓN” para
crear un régimen de prevención de riesgo para fundaciones, y sociedades sin
fines de lucro. Deberán sujetarse a controles de monitoreo contra el
financiamiento al terrorismo y deben cumplir sin importar si alcanzan los
umbrales de valor monetario de la Ley, también estarán obligadas a estructurar
capacitación interna y a vigilar donantes de países de alto riesgo.
Artículo 39 al 40 y sexto y
séptimo transitorios. – Se adiciona EL CAPÍTULO XII “CAPACITACIÓN Y
SELECCIÓN DE PERSONAL” para indicar los lineamientos para la capacitación y
selección del personal, indicando que quien realice Actividades Vulnerables
deberá implementar programas de capacitación, dirigidos a los miembros de sus
respectivos consejos de administración, al administrador único o su
equivalente, directivos, funcionarios, a la persona Representante Encargada de
Cumplimiento y, en todo caso, a sus empleados que laboren en áreas de atención
al público, participen en la identificación o conocimiento del Cliente o Usuaria,
en el envío de Avisos o realice actividades de auditoría. Se detallan los
lineamientos a seguir y establece que deberán conservar de manera física o
electrónica durante 10 años, evidencia documental de los programas, talleres,
materiales, listas de asistencia, evaluaciones, constancias y cualquier otro
documento que ayude a comprobar que se llevó a cabo la capacitación.
Los procedimientos de selección
de personal a que se refiere el artículo 39 Bis 2 de estas reglas, deberán
aplicarse a las nuevas contrataciones realizadas a partir del primero de marzo
de dos mil veintiséis.
El primer periodo anual de
capacitación a que se refiere el artículo 39 Bis de esta regla, comprenderá del
primero de enero al treinta y uno de diciembre de 2027.
Artículo 41 y noveno transitorio:
Se adiciona el CAPÍTULO XIII “MECANISMOS AUTOMATIZADOS” para detallar los
lineamientos que los sujetos obligados deberán establecer para operar soluciones
tecnológicas capaces de consolidar expedientes únicos, estructurar perfiles
transaccionales históricos de 10 años, automatizar alertas de Personas
Políticamente Expuestas y detectar desvíos transaccionales inusuales de forma
automatizada. Deberán contar con los mecanismos automatizados a mas tardar el
01 de junio del 2027 los cuales deberá contener la información de los actos u
operaciones realizadas a partir de esa fecha.
Artículos 42 al 51 y octavo
transitorio: Se adiciona el CAPITULO XIV “DE LA AUTIDORÍA” para dar los
lineamientos necesarios para mantener las medidas de control que incluya la
revisión de un auditor ya sea de su área de auditoría interna, o bien, de una
persona auditora externa independiente, que evalúe y dictamine del primero de
enero al treinta y uno de diciembre de cada año, la efectividad del cumplimiento de la Ley, su
Reglamento y de las presentes reglas. Cuando el riesgo sea evaluado como bajo o
medio el dictamen podrá ser emitido por un área de auditoría interna, cuando
sea evaluado como de alto riesgo, la revisión y emisión del dictamen deberá
realizarse por una persona auditora externa independiente.
El primer periodo de revisión de
auditoría iniciará el primero de enero al 31 de diciembre del 2028.
TRANSITORIOS:
Cuarto. – A partir de los
actos u operaciones realizados el primero de marzo de 2027, quienes realicen
las Actividades Vulnerables deberán observar lo previsto en los Capítulos III BIS-CLASIFICACIÓN
DEL GRADO DE RIESGO DE LA PERSONA CLIENTE O USUARIA, III TER-CONOCIMIENTO DE LA
PERSONA CLIENTE O USUARIA y III QUINQUIES-DEL BENEFICIARIO CONTROLADOR.
Quinto. - Quienes realicen
Actividades Vulnerables podrán realizar el envío de los Avisos a que se
refieren los artículos 26 Bis-AVISO POR SOSPECHA, 26 Bis 1-AVISO POR HECHOS O
INDICIOS, 26 Bis 2-AVISO POR SOSPECHA O HECHOS QUE NO SE REALIZARON, y 27-AVISOS
E INFORMES, segundo párrafo de estás reglas, seis meses después de la entrada
en vigor de la Resolución por la que se expidan los formatos oficiales de los Avisos
e Informes que deben presentar quienes realicen Actividades Vulnerables.
