MODIFICACIÓN A LAS REGLAS DE CARÁCTER GENERAL DE LA LEY FEDERAL PARA LA PREVENCIÓN E IDENTIFICACIÓN DE OPERACIONES CON RECURSOS DE PROCEDENCIA ILÍCITA.

 

(En vigor 30 de noviembre de 2026, salvo las excepciones previstas)

 

Artículo 2. -Se reforma esta regla para adicionar la definición de “Instituciones del Sistema Financiero, entendiéndose para ello a las instituciones de crédito; almacenes generales de depósito; casas de cambio; sociedades financieras de objeto múltiple; uniones de crédito; sociedades financieras populares; sociedades cooperativas de ahorro y préstamo; casas de bolsa; fondos de inversión; administradoras de fondos para el retiro; instituciones de seguros, instituciones de fianzas y sociedades mutualistas de seguros; centros cambiarios; transmisores de dinero; asesores en inversión e instituciones de tecnología financiera.

 

Artículo 3 frac. IV inciso ii). – En relación a la definición del Beneficiario controlador se modifica este artículo para indicar que se entiende que una persona o grupo de personas controla de manera efectiva en última instancia a una persona moral cuando, a través de la titularidad de valores, por contrato o cualquier otro acto, en términos de estas reglas, puede  mantener la titularidad de los derechos que permitan, directa o indirectamente, ejercer el voto respecto de más del veinticinco por ciento del capital social, anteriormente mencionaba el cincuenta por ciento del capital social.

También se elimina la definición de “Dueño beneficiario” y se adicionan 8 definiciones técnicas con conceptos indispensables para interpretar las nuevas disposiciones por ejemplo la definición de "Riesgo" o "Manual de políticas internas".

Artículo 4: Este artículo indica que las personas morales deberán utilizar su Firma Electrónica Avanzada y no la de su representante legal, ahora se modifica para indicar que los fideicomisos también tendrán que acatar este requisito, así mismo, se adicionan los incisos III y IV para indicar qué información deberán ingresar los fideicomisos, así como otras figuras jurídicas para darse de alta o baja del padrón de quienes realicen actividades vulnerables.

Artículos 5 y 5 Bis: – Se reforma para indicar que el SAT una vez que reciba la información a que se refiere el artículo 4 de estas reglas, deberá comprobar que la documentación señalada en el Capítulo II Bis de las mismas, esté completo antes de expedir el acuse electrónico de alta y registro, así mismo, se indica que las notificaciones que recibirá quien realice el registro,  consistirán en darles a conocer documentos digitales, mediante el Portal de Internet, tales como requerimientos, citatorios, solicitudes de información, prevenciones, resoluciones administrativas, entre otros.

Artículo 6: Se modifica para eliminar los párrafos 5 y 6 en los que indicaba que, previo a la realización de la notificación a quienes realicen Actividades Vulnerables, les podrían enviar a su correo electrónico, las alertas de notificación de un documento emitido por la autoridad competente a efectos de que realice su revisión en el Portal de Internet. Así mismo se adiciona que:

·        Las notificaciones electrónicas se tendrán por enviadas y recibidas a través del Portal en Internet cuando se genere la constancia que demuestre la fecha y hora en que fueron remitidas a quien realice la Actividad Vulnerable

·        Quien realice Actividades Vulnerables contará con tres días hábiles para abrir los documentos digitales pendientes de notificar, contados a partir del día siguiente a aquél en que fue enviada y recibida la notificación electrónica, y se tendrá por realizada al cuarto día hábil, contado a partir del día siguiente a aquél en que le fue enviada, generándose la constancia documental correspondiente.

·         Quien realice Actividades Vulnerables deberá consultar al menos una vez al día, en caso de estar imposibilitados para consultar o para abrir los documentos, lo harán del conocimiento de la UIF, o del SAT a más tardar dentro de los tres días hábiles siguientes a aquel en que ocurra dicho impedimento, a través del medio que se señale en el portal de Internet para que le sea notificado por medio de alguna otra forma establecida en la Ley Federal de Procedimiento Administrativo. 

La SHCP deberá implementar los mecanismos tecnológicos necesarios para la operación del sistema de notificaciones electrónicas dentro de los ocho meses siguientes al que entre en vigor este acuerdo.

Artículo 8 y 8 Bis. -Las personas que se hayan registrado y dado de alta y que por cualquier circunstancia dejen de realizar Actividades vulnerables, deberán darse de baja. En caso de que se encuentren imposibilitadas para realizar la baja, podrá solicitar al SAT que la realice en su lugar, proporcionando información y documentación que soporte la imposibilidad para realizar su propia baja.             

Artículos 9: Se modifica para adicionar que el SAT también podrá solicitar imágenes como medio para corroborar y acreditar la información de su alta y registro. También se establece en diez días hábiles (antes cinco) los plazos para que el SAT atienda el requerimiento, y en cinco días hábiles (antes tres) como prórroga a solicitud del interesado. El SAT podrá basarse en la información con la que cuente, la que le sea proporcionada por dependencias y entidades de la administración de los tres órdenes de gobierno, organismos constitucionales autónomos, y la que obtenga por cualquier otro medio.

Artículo 10: Se modifica para indicar que tanto la aceptación como el rechazo de la asignación de la persona encargada de cumplimiento a las obligaciones relacionadas con las Actividades Vulnerables, será notificada por el SAT a quien realizó dicha designación a través de los medios electrónicos, dentro de los diez días hábiles siguientes a la recepción de la aceptación o rechazo.

Artículos 10 Bis, al 10 quinquies: Se modifica el capítulo II Bis “ALTA Y REGISTRO DE PROVEEDORES DE SERVICIOS DE ACTIVOS VIRTUALES” para actualizar la supervisión operativa sobre las plataformas y proveedores que enajenan o custodian activos virtuales en el país (criptomonedas). Deberán entregar y actualizar la información que se solicita en este mismo artículo dentro de los seis meses contados a partir de la entrada en vigor de este acuerdo.

Artículos 10 Sexies y 10 Sexies 1: Se adiciona el capítulo II Ter “ALTA Y REGISTRO DE QUIENES ACTUÉN POR MEDIO DE FIDEICOMISOS Y OTRAS FIGURAS JURÍDICAS” referente al alta y registro de las mismas, obligando a reportar datos de cada integrante en formato estructurado XML, así mismo se designa al asociante como responsable del trámite usando la e. Firma de la Asociación en Participación.

Artículo 10 Septies y 10 Septies 1 al  Septies 6 y segundo transitorio: Se adiciona el Capítulo II Quárter “ENFOQUE BASADO EN RIESGOS” para indicar que quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología para llevar a cabo una evaluación de Riesgos derivado de los actos u operaciones que realicen en términos del artículo 17 de la Ley, así como de las personas clientes o usuarios con quienes lleven a cabo dichos actos u operaciones, sus transacciones y canales de envío o distribución, el cual deberá estar establecido en su Manual de Políticas Internas o en algún otro manual. También deberán llevar a cabo una evaluación de Riesgos a los que se encuentren expuestos, antes de implementar o poner a disposición nuevos medios, canales, modalidades, productos o servicios o antes de dirigir la Actividad Vulnerable a nuevos tipos de Clientes o Usuarios. El artículo 1 detalla los requisitos que deberán cumplir para el diseño de la metodología de evaluación de riesgo a los que se encuentren expuestos. La documentación se deberá conservar por lo menos 10 años. (en vigor a partir del primero de marzo de 2027 para poner a disposición de la autoridad competente con información del 2026).

Artículo 12: En relación a la identificación de la persona cliente o usuaria, se modifica para indicar que en caso de que el Cliente o Usuaria sea persona moral o fideicomiso, quienes realicen las Actividades Vulnerables recabarán los datos establecidos en los numerales i), ii), iv), y ix del inciso a) del anexo 3 de las presentes reglas en todos los casos. Se modifica también para incluir a los archivos electrónicos como medio para conservar los datos y documentos que deben formar parte de los expedientes de identificación de Clientes o Usuarias.

Artículo 17: Se modifica para indicar que en los casos de Quienes realicen Actividades Vulnerables que están obligados a solicitar a los Clientes o Usuarios considerados como de bajo Riesgo documentos en original de los que se desprendan los datos que correspondan, ahora también podrán ser en copia certificada por Fedatario Público.

Artículo 23 Bis al 23 Bis 4: Se adiciona el capítulo III Bis “CLASIFICACIÓN DEL GRADO DE RIESGO DE LA PERSONA CLIENTE O USUARIA”. Este capítulo contiene los lineamientos para la clasificación del grado de riesgo de la persona cliente o usuaria los cuales indican que quienes realicen actividades vulnerables deberán:

ü  Clasificar a sus clientes o Usuarios por Grado de Riesgo individual, el cual deberá estar establecido en el manual de Políticas Internas.

ü  Establecer al menos tres clasificaciones, consistentes en Grados de Riesgo bajo, medio y alto pudiendo establecer tantos Grados de Riesgo intermedios como conmiseren necesario.

ü  Determinar el grado de Riesgo inicial y posteriormente deberán llevar a cabo la evaluación cada 6 meses.

ü  Deberán considerar las características inherentes, pudiendo incluir: antecedentes, tipo de persona, fecha de nacimiento o constitución, giro o actividad, nacionalidad, lugar de residencia, fuentes de ingreso, así como la naturaleza y propósito de la relación que tenga con quien realiza la Actividad Vulnerable, entre otros.

ü  Deberán considerar como personas Clientes o Usuarias de Grado de Riesgo alto, al menos a aquéllas no residentes en territorio mexicano y que se encuentren, estén vinculados o tengan efectos en los países o jurisdicciones que la legislación mexicana considera que aplican regímenes fiscales preferentes, así como las Personas Políticamente Expuestas Extranjeras

Artículo 23 Ter al 23 Ter 5: Se adiciona el capítulo III Ter “CONOCIMIENTO DE LA PERSONA CLIENTE O USUARIA”, para indicar los lineamientos para elaborar la política de reconocimiento de sus Clientes o Usuarios, la cual deberá incluir al menos lo siguiente:

ü  Las políticas, criterios, medidas, procedimientos, controles para mitigar los Riesgos; Los procedimientos para dar seguimiento y monitorear los actos u operaciones realizadas con sus Clientes o Usuarias; los conocimientos para el debido conocimiento del perfil transaccional de cada uno delos clientes o usuarias; los supuestos en que los actos u operaciones se aparten del Perfil transaccional de cada uno de sus Clientes o Usuarias y, en caso de cambios significativos en dicho perfil y los casos en que procede la revisión y actualización  del  expediente del Cliente o Usuaria.

ü  Criterios para establecer o modificar el Grado de Riesgo previamente determinado al Cliente o Usuaria.

ü  Para determinar el Perfil Transaccional de sus clientes o Usuarias, deberán considerar; la información proporcionada por el cliente o Usuaria o bien, la que obre en los archivos de quien realice la Actividad Vulnerable; el monto, número y frecuencia de los actos u operaciones que realice el Cliente o Usuaria; el origen y destino de los recursos o bienes objeto del acto u operación; los demás elementos y criterios que determine quien realice la Actividad Vulnerable para tales efectos.

ü  Considerar durante los primeros seis meses siguientes a aquel en que se llevo a cabo la operación de que se trate, la información que proporcione cada uno de los clientes y posteriormente realizar cada seis meses la evaluación de los Clientes o Usuarias.

ü  Implementar un sistema de alertas que permita el seguimiento y detección oportuna de algún cambio importante en el comportamiento o perfil transaccional del Cliente o Usuaria.

ü  Cuando el grado de riesgo sea alto se deberá requerir mayor información sobre la actividad preponderante del Cliente o Usuaria.

ü  En su caso obtener mayor información de sus principales accionistas o socios, según corresponda.

ü  En el caso de personas Políticamente Expuestas extranjeras recabar además la documentación señalada en el Capítulo III de estas reglas.

Artículos 23 Quáter al 23 Quáter 2: se adiciona el capítulo III Quáter “DE LA LISTA DE PERSONAS POLITICAMENTE EXPUESTAS”, el cual contiene los lineamientos relacionados con las Personas Políticamente Expuestas. Quienes realicen Actividades Vulnerables podrán realizar consultas sobre Personas Políticamente Expuestas nacionales, ingresando a la aplicación Consulta PEP 2.0 dentro de la página oficial de la UIF con su firma electrónica Avanzada, nueve meses después de que entre en vigor el presente Acuerdo.

Artículos 23 Quinquies al 23 Quinquies 3: Se adiciona el CAPITULO III QUINQUIES “DEL BENEFICIARIO CONTROLADOR” para indicar que Quienes realicen Actividades Vulnerables deberán establecer en su Manual de Políticas Internas los criterios, medidas y procedimientos internos con los cuales realizarán la identificación del Beneficiario Controlador a que se refiere el artículo 18 fracción III de la Ley, para lo cual, se deberá considerar el siguiente orden de prelación:

ü  Identificar a la persona o grupo de personas físicas que directa o indirectamente, adquieran, sean titulares o posean por cualquier título legal, el 25% o más de la composición accionaria o parte social del capital social del Cliente o Usuaria.

ü  Identificar a la persona o personas físicas que tengan el control del Cliente o Usuaria por otros medios distintos al anterior y sus funciones se encuentren relacionadas con la estrategia, toma de decisiones y la dirección de las principales políticas del Cliente o Usuaria.

ü  Identificar a la o las personas físicas que ocupen la posición de funcionario administrativo de mayor grado o de alta dirección

Se deberá documentar el procedimiento que se siguió para la identificación del Beneficiario Controlador y conservar la documentación y registros que lo sustenten.

En caso de clientes o Usuarios que sean fidecomisos se considera como beneficiario controlador a cualquier persona física que, en última instancia, ejerza el control efectivo sobre el fideicomiso mediante facultades contractuales, legales o de cualquier otra naturaleza.

Artículo 24 Bis: Establece las fechas que deberán considerarse para presentar el aviso, además de las consideradas en los artículos 5 y 24 del reglamento, las fechas del acto y operación que deberán considerarse para la presentación del aviso de las actividades considerada en el artículo 17 son las siguientes:

Fracción I. – JUEGOS CON APUESTAS CONCURSOS Y SORTEOS: La fecha en que se tenga por liquidada la venta del boleto, ficha o comprobante, o bien se entregue el premio correspondiente.

Fracción II. – TARJETAS DE SERVICIO, CRÉDITO Y MONEDEROS ELECTRÓNICOS Y TARJETAS PREPAGADAS QUE NO SEAN EMITIDAS POR EL SISTEMA FINANCIERO: Inciso a) se tomará el último día del mes que corresponda al consumo mensual de la tarjeta de crédito o servicio objeto del aviso, (se entenderá por acto u operación el gasto mensual acumulado de la tarjeta de servicio o crédito que corresponda). Inciso b) y c) se tomará aquella en que se tenga por liquidada la emisión, comercialización o abono a las tarjetas prepagadas o a los instrumentos de almacenamiento de valores monetarios que sean objeto del aviso y se alcanzó el umbral del aviso en ambos casos.

Fracción III. – CHEQUES DE VIAJERO, Fracción V. – SERVICIOS DE CONSTRUCCIÓN, DESARROLLO O COMERCIALIZACIÓN DE BIENES INMUEBLES O AGENTES INMOBILIARIOS, Fracción VI. – COMERCIALIZACIÓN DE MATERIALES PRECIOSOS PIEDRAS, RELOJE Y JOYAS, Fracción VII. – COMERCIALIZACIÓN DE OBRAS DE ARTE, Fracción VIII. – COMERCIALIZACIÓN O DISTRIBUCIÓN DE VEHICULOS NUEVOS O USADOS, TERRESTRES, AEREOS O MARÍTIMOS: Aquélla en que se tenga por liquidada el acto u operación y se alcanzó el umbral de aviso.

Fracción V Bis. – DESARROLLOS INMOBILIARIOS PARA SU VENTA O RENTA: aquella en que se recibió y destinó la última aportación a un desarrollo inmobiliario, en el mes de calendario.

Fracción IX. – BLINDAJE DE CUALQUIER TIPO: Aquella en que se tenga por liquidado el pago por el servicio de blindaje y se alcanzó el umbral de aviso.

Fracción X. – TRASLADO O CUSTODIA DE VALORES: Aquélla en que se tenga por concluido el servicio de traslado o de custodia y se alcanzó el umbral de aviso.

Fracción XI. – PRESTACIÓN DE SERVICIOS PROFESIONALES INDEPENDIENTES: Aquella en la que el prestador del servicio realice la operación financiera en representación o por instrucción del Cliente o Usuario.

Fracción XIII. – DONATIVOS: Aquella en la que se recibió el donativo y se alcanzó el umbral de Aviso.

Fracción XVI. – INTERCAMBIO DE ACTIVOS VIRTUALES: Aquella en que se tenga por concluido el acto u operación y se alcanzó el umbral de aviso

Artículos 26 Bis, 26 Bis 1 y 26 Bis 2: Se adicionan para establecer la obligación de enviar un reporte en un máximo de 24 horas si existen indicios o sospechas extremas de lavado de dinero o financiamiento al terrorismo, contados a partir de que el sistema interno detecte la alerta y aun cuando el acto u operación no cumpla con el monto o condición para que sea objeto de Aviso en términos de la Lay e incluso cuando no se haya celebrado, siempre que, quien realice la Actividad Vulnerable cuente con datos que permitan identificar al Cliente o Usuario o a quien intentó llevar a cabo el acto u operación.

Artículo 36: Se deroga en su totalidad al quedar sin efectos las modalidades de presentación física o por medios alternos al Portal en Internet.

Artículo 36 Bis. – Se adiciona para indicar que en los plazos fijados en días no se contarán los inhábiles, salvo disposiciones en contrario, además, durante el periodo general de vacaciones y los días no laborables, no se computarán plazos y términos legales correspondientes a los actos y trámites relativos a los procedimientos administrativos que se sustancien ente las unidades administrativas del SAT. Cuando la persona a la que se le deba dejar citatorio, no acepte recibirlo o se encuentre cerrado el domicilio, la entrega del citatorio se realizará por instructivo que se fijará en un lugar visible en dicho domicilio, circunstancias que no afectará la validez de la notificación, en estos casos en SAT deberá levantar un acta de hechos.

Artículo 37 y Tercero transitorio. – Se modifica para indicar que quien realice actividades vulnerables, a los noventa días naturales de alta y registro referidos en el artículo 4 de esta regla, deberán contar con un manual de políticas internas en el que desarrollen sus políticas y lineamientos de identificación y conocimiento de Clientes o Usuarias, así como los criterios, medidas y procedimientos internos que deberá adoptar para dar cumplimiento a lo previsto en las presentes reglas y ponerlo a disposición de la UIF o del SAT cuando se lo requieran. Así mismo, se enlistan los criterios, medidas y procedimientos internos y demás información que, por virtud de lo dispuesto en estas reglas, puedan quedar plasmados en un documento distinto al mencionado. (en vigor a partir del primero de marzo de 2027 para poner a disposición de las autoridades competentes previo requerimiento).

Artículo 37 Bis 2. –  Se adiciona para indicar que quienes realicen Actividades Vulnerables y determinen que no llevarán a cabo actos u operaciones bajo ciertos supuestos, estarán exentos de establecer políticas, criterios, medidas o procedimientos, siempre que hagan constar dicha circunstancia en el Manual de Políticas Internas.

Artículos 38 Bis, 38 Bis 1 y 38 Bis 2: Se adiciona el CAPITULO XI “DE LOS MECANISMOS DE PREVENCIÓN” para crear un régimen de prevención de riesgo para fundaciones, y sociedades sin fines de lucro. Deberán sujetarse a controles de monitoreo contra el financiamiento al terrorismo y deben cumplir sin importar si alcanzan los umbrales de valor monetario de la Ley, también estarán obligadas a estructurar capacitación interna y a vigilar donantes de países de alto riesgo.

Artículo 39 al 40 y sexto y séptimo transitorios. – Se adiciona EL CAPÍTULO XII “CAPACITACIÓN Y SELECCIÓN DE PERSONAL” para indicar los lineamientos para la capacitación y selección del personal, indicando que quien realice Actividades Vulnerables deberá implementar programas de capacitación, dirigidos a los miembros de sus respectivos consejos de administración, al administrador único o su equivalente, directivos, funcionarios, a la persona Representante Encargada de Cumplimiento y, en todo caso, a sus empleados que laboren en áreas de atención al público, participen en la identificación o conocimiento del Cliente o Usuaria, en el envío de Avisos o realice actividades de auditoría. Se detallan los lineamientos a seguir y establece que deberán conservar de manera física o electrónica durante 10 años, evidencia documental de los programas, talleres, materiales, listas de asistencia, evaluaciones, constancias y cualquier otro documento que ayude a comprobar que se llevó a cabo la capacitación.

Los procedimientos de selección de personal a que se refiere el artículo 39 Bis 2 de estas reglas, deberán aplicarse a las nuevas contrataciones realizadas a partir del primero de marzo de dos mil veintiséis.

El primer periodo anual de capacitación a que se refiere el artículo 39 Bis de esta regla, comprenderá del primero de enero al treinta y uno de diciembre de 2027.

Artículo 41 y noveno transitorio: Se adiciona el CAPÍTULO XIII “MECANISMOS AUTOMATIZADOS” para detallar los lineamientos que los sujetos obligados deberán establecer para operar soluciones tecnológicas capaces de consolidar expedientes únicos, estructurar perfiles transaccionales históricos de 10 años, automatizar alertas de Personas Políticamente Expuestas y detectar desvíos transaccionales inusuales de forma automatizada. Deberán contar con los mecanismos automatizados a mas tardar el 01 de junio del 2027 los cuales deberá contener la información de los actos u operaciones realizadas a partir de esa fecha.

Artículos 42 al 51 y octavo transitorio: Se adiciona el CAPITULO XIV “DE LA AUTIDORÍA” para dar los lineamientos necesarios para mantener las medidas de control que incluya la revisión de un auditor ya sea de su área de auditoría interna, o bien, de una persona auditora externa independiente, que evalúe y dictamine del primero de enero al treinta y uno de diciembre de cada año,  la efectividad del cumplimiento de la Ley, su Reglamento y de las presentes reglas. Cuando el riesgo sea evaluado como bajo o medio el dictamen podrá ser emitido por un área de auditoría interna, cuando sea evaluado como de alto riesgo, la revisión y emisión del dictamen deberá realizarse por una persona auditora externa independiente.

El primer periodo de revisión de auditoría iniciará el primero de enero al 31 de diciembre del 2028.

TRANSITORIOS:

Cuarto. – A partir de los actos u operaciones realizados el primero de marzo de 2027, quienes realicen las Actividades Vulnerables deberán observar lo previsto en los Capítulos III BIS-CLASIFICACIÓN DEL GRADO DE RIESGO DE LA PERSONA CLIENTE O USUARIA, III TER-CONOCIMIENTO DE LA PERSONA CLIENTE O USUARIA y III QUINQUIES-DEL BENEFICIARIO CONTROLADOR.

Quinto. - Quienes realicen Actividades Vulnerables podrán realizar el envío de los Avisos a que se refieren los artículos 26 Bis-AVISO POR SOSPECHA, 26 Bis 1-AVISO POR HECHOS O INDICIOS, 26 Bis 2-AVISO POR SOSPECHA O HECHOS QUE NO SE REALIZARON, y 27-AVISOS E INFORMES, segundo párrafo de estás reglas, seis meses después de la entrada en vigor de la Resolución por la que se expidan los formatos oficiales de los Avisos e Informes que deben presentar quienes realicen Actividades Vulnerables.