Acuerdo 115/2026: reforma a las Reglas de Carácter General

Guía de la reforma a las Reglas de Carácter General (Acuerdo 115/2026): beneficiario controlador al 25%, evaluación de riesgo, auditoría anual y calendario.

Pablo Rodríguez · 10 de agosto de 2026

Reforma a las Reglas de Carácter General 2026: la guía completa

El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que reforma las Reglas de Carácter General de la Ley Antilavado. Entra en vigor el 30 de noviembre de 2026, con obligaciones escalonadas hasta 2029.

Agrega once capítulos, sesenta y seis artículos y tres anexos nuevos. Es la modificación más amplia al régimen de Actividades Vulnerables desde 2013.

Si ya leíste nuestro artículo sobre la reforma a la Ley y a su Reglamento, esta es la pieza que faltaba. Y es la más importante, por una razón que casi nadie está explicando.

Primero, lo que nadie te está diciendo

La reforma a la Ley del 16 de julio de 2025 creó cinco obligaciones nuevas en el artículo 18: evaluación de riesgos, manual de políticas internas, capacitación y selección de personal, mecanismos automatizados y auditoría.

Pero el transitorio tercero de ese Decreto dispuso, literalmente, que las obligaciones de las fracciones VII a XI del artículo 18 "entrarán en vigor en los plazos que para tal efecto establezcan las reglas de carácter general".

Traducido: esas cinco obligaciones nunca han sido exigibles. Llevaban trece meses congeladas esperando este Acuerdo. Y este Acuerdo es el que finalmente les pone fecha.

Por eso importa tanto. No es una reforma más: es el botón de arranque de todo lo que se anunció en 2025.

1. Beneficiario controlador: de un dato a un procedimiento

El umbral ya había bajado a 25% con la reforma a la Ley. Lo que estas reglas agregan es cómo hay que buscarlo, y ahí está el cambio de fondo.

El artículo 23 Quinquies fija un orden obligatorio de identificación que solo permite bajar de escalón cuando el anterior no arroja resultado:

1. Quien tenga más del 25% del capital, directa o indirectamente.
2. Si nadie llega, quien ejerza el control por otros medios: estrategia, toma de decisiones y políticas principales.
3. Si tampoco, el funcionario administrativo de mayor jerarquía.

La consecuencia práctica es que el campo nunca puede quedar vacío. Una sociedad con cinco socios al 20% cada uno sin control identificable tiene, por definición, un beneficiario controlador: su director general. Y hay que documentar el procedimiento que seguiste para llegar ahí, no solo el resultado.

En fideicomisos el universo se amplía: además de fiduciario, fideicomitentes y fideicomisarios, ahora entran el protector y los miembros del comité técnico. Y si alguno de ellos es persona moral, hay que ascender por la cadena hasta la persona física final.

¿Y los expedientes que ya tienes? Aquí conviene ser preciso. El transitorio cuarto ata este capítulo a los actos u operaciones realizados a partir del 1 de marzo de 2027, así que no ordena una revisión retroactiva de todo tu archivo.

Pero hay una distinción que sí importa. Cuando existe una relación de negocios vigente —un arrendamiento, un crédito—, la regla exige mantener la información del beneficiario controlador actualizada durante toda la vigencia de esa relación, y el artículo 21 obliga a verificar cuando menos una vez al año que esos expedientes estén completos y al día. En esos casos sí vas a tener que volver sobre ellos.

En cambio, para operaciones ocasionales que ya se extinguieron —una compraventa cerrada en 2024, por ejemplo— no hay obligación de reabrir el expediente.

Qué hacer: separa tu cartera entre relaciones de negocio vigentes y operaciones cerradas. Sobre las primeras, revisa la titularidad con el criterio nuevo antes de la verificación anual que te toque. Es el trabajo más tardado de la reforma y conviene no dejarlo para 2027.

2. Tu empresa ahora tiene que evaluarse a sí misma

Hasta hoy clasificabas a tus clientes. El capítulo II Quáter agrega algo distinto: evaluar el riesgo de tu propio negocio.

Es una metodología propia, documentada y medible, que cruza cuatro elementos obligatorios: los actos u operaciones que realizas, el tipo de clientes que atiendes, los países y áreas geográficas donde operas, y las transacciones y canales que utilizas. Cada elemento con sus indicadores y su ponderación.

Encima va el efecto de tus mitigantes, es decir, todo lo que ya tienes implementado para reducir esa exposición. Y la regla es explícita en que no basta con que existan: hay que considerar su efectiva aplicación. Un manual que nadie lee no mitiga nada.

Requisitos concretos: mínimo doce meses de datos reales (número de clientes, número de operaciones y monto operado), indicadores específicos de lavado y de financiamiento al terrorismo para cada uno de los cuatro elementos, revisión al menos anual, y conservación por diez años.

Lo que hace a esta evaluación distinta de todo lo demás es su consecuencia: el resultado define si tu auditoría anual puede ser interna o tiene que ser externa. Volveremos a eso.

Si todavía no tienes doce meses de operación, la regla permite correr la evaluación inicial con datos proyectados y actualizarla al cumplir el año.

3. El expediente ahora depende del grado de riesgo

El capítulo III Bis obliga a clasificar a cada cliente en al menos tres grados: bajo, medio y alto, con reevaluación al menos cada seis meses y mayor frecuencia a mayor riesgo.

Y aquí viene el cambio que más va a mover la operación diaria: el expediente que debes integrar depende del grado. Solo el riesgo bajo admite régimen simplificado. Riesgo medio y alto exigen expediente completo.

Hay además dos supuestos donde el grado alto es forzoso, por encima de cualquier ponderación que hayas definido:

• Clientes no residentes vinculados a jurisdicciones que aplican regímenes fiscales preferentes o con medidas deficientes contra el lavado.
• Personas políticamente expuestas extranjeras.

La UIF publicará la lista de jurisdicciones en su portal.

4. Perfil transaccional: lo que el cliente dice que va a hacer

Esta figura no existía y es de las más exigentes. Cada cliente debe declarar los montos máximos mensuales que estima operar, y ese perfil inicial rige durante al menos los primeros seis meses.

La regla es explícita en que ese perfil debe estar cargado en tu sistema de alertas, para detectar inconsistencias entre lo que el cliente declaró y lo que realmente opera. No es un dato de archivo: es un parámetro operativo.

El perfil se reevalúa cada seis meses. Y para clientes de una sola operación que se extingue ahí, el perfil se integra con esa única operación.

Qué hacer: agrega la declaración de monto y frecuencia esperados a tu alta de clientes, y define por escrito qué desviación dispara una alerta. Ese umbral tiene que estar en tu manual.

5. Debida diligencia reforzada para riesgo alto

Cuando un cliente cae en grado alto, se activan obligaciones adicionales:

• Cuestionario sobre el origen y destino de los recursos, que puede aplicarse de forma remota con firma electrónica.
• Para personas físicas: datos del cónyuge y dependientes económicos, y de las sociedades con las que tenga vínculos patrimoniales.
• Para personas morales: consultar los registros electrónicos de la Secretaría de Economía para verificar la información de accionistas que te dio el cliente.
• Si además es persona políticamente expuesta: aprobación de un directivo antes de realizar la operación.

6. Personas políticamente expuestas: por fin el procedimiento

Conviene ser preciso con lo que es nuevo. El Reglamento reformado ya había creado, desde marzo de 2026, la Lista de Personas Políticamente Expuestas integrada por la UIF y la facultad de los sujetos obligados de consultarla. Lo que faltaba era el procedimiento, y eso es lo que aporta el capítulo III Quáter, junto con la precisión de quiénes cuentan como allegados.

La Ley definía a las personas políticamente expuestas incluyendo «a las personas relacionadas con ellas que cumplan con las condiciones y características que la Secretaría establezca en reglas», sin decir cuáles. Ahora se precisan: cónyuge, concubina o concubinario, parientes por consanguinidad o afinidad hasta el segundo grado, y los socios de personas morales con las que mantengan vínculos patrimoniales. Un funcionario arrastra fácilmente quince o veinte personas.

El carácter dura un año después de dejar el cargo, con una regla antielusión: si dejó el cargo dentro del año anterior a la operación, se le cataloga como tal durante el año siguiente a aquel en que operó contigo.

Y lo más útil: se define cómo consultar. La consulta se hará en una aplicación oficial de la UIF, con la e.firma del sujeto obligado, y las autoridades estarán obligadas a alimentarla con datos de sus funcionarios y de sus dependientes económicos. Se habilita en agosto de 2027.

7. El manual deja de ser un documento genérico

Ya no basta con "tener un manual". El artículo 37 Bis fija catorce secciones obligatorias: identificación y conocimiento de clientes, clasificación de riesgo, debida diligencia por grado, seguimiento de personas políticamente expuestas, detección de desviaciones del perfil, avisos, conservación, acumulación, listas, funciones del encargado de cumplimiento, capacitación, control interno y auditoría, confidencialidad, y actualización del propio manual.

Debe estar listo a los noventa días naturales del alta, incluir el diseño de la metodología de riesgo y el procedimiento para abrir, limitar o terminar relaciones comerciales. Y el SAT puede ordenarte modificarlo.

Un alivio poco conocido: si decides no realizar ciertos actos u operaciones, quedas exento de establecer políticas para ellos, siempre que lo hagas constar en el manual.

8. Capacitación y selección de personal

El programa es anual y va dirigido al consejo o administrador único, directivos, encargado de cumplimiento y empleados que traten con clientes, participen en la identificación, envíen avisos o hagan auditoría.

Los requisitos son específicos: evaluaciones obligatorias para expedir constancias, instructores que acrediten cinco años de experiencia en la materia, capacitación previa o simultánea al ingreso del personal nuevo, y evidencia documental conservada diez años.

Se suma la selección de personal: una declaración firmada de cada empleado sobre sectores regulados donde haya trabajado antes y sobre no haber sido sentenciado por delitos patrimoniales ni inhabilitado.

Ojo con el calendario: el primer periodo anual corre del 1 de enero al 31 de diciembre de 2027. Arranca antes que el grueso de las demás obligaciones, y sin registro documentado no cuenta.

9. Mecanismos automatizados: seis funciones mínimas

El artículo 41 deja de hablar en abstracto. Tus sistemas deben:

1. Conservar, actualizar y permitir consultar el expediente único de cada cliente.
2. Agrupar en una base consolidada las operaciones de cada cliente, para monitorearlas, detectar las que se aparten del perfil transaccional y hacer la acumulación.
3. Proveer la información que alimenta la metodología de riesgo.
4. Ejecutar el modelo de grado de riesgo y conservar el histórico de cambios de grado y de perfil por al menos diez años.
5. Ejecutar un sistema de alertas para riesgo alto, personas políticamente expuestas, personas en listas y jurisdicciones de alto riesgo.
6. Monitorear el uso de efectivo y metales preciosos.

La regla admite expresamente desde sistemas especializados hasta procesos apoyados en hojas de cálculo, siempre que cumplan estas seis funciones y sean verificables ante la autoridad. En la práctica, el requisito de diez años de histórico por cliente es el que hace inviable el Excel.

10. Auditoría anual: el dictamen que califica obligación por obligación

Aquí está el mayor cambio de exposición económica.

Si tu empresa resulta de riesgo bajo o medio, puede auditarte tu propia área interna, con personal independiente del encargado de cumplimiento. Si resulta de riesgo alto, tiene que firmarlo un auditor externo independiente que cumpla, entre otros requisitos: título y cédula profesional, tres años de experiencia en la materia, certificación vigente de la UIF, y no haber sido tu encargado de cumplimiento durante el periodo auditado ni los dos años siguientes.

El dictamen se divide en siete secciones y califica cada obligación por separado en cinco niveles: cumple, cumple mayoritariamente, cumple parcialmente, no cumple, y no aplica. Debe incluir los hallazgos con sus acciones correctivas, plazos, responsables y una proyección económica del monto de las multas si no se atienden, más el seguimiento del dictamen del año anterior.

El primer periodo de revisión corre de enero a diciembre de 2028, y el dictamen se entrega a más tardar el último día hábil de marzo de 2029.

Qué hacer: estima desde ahora si vas a salir de riesgo alto. Es la diferencia entre auditarte en casa o contratar a un externo certificado todos los años, y conviene saberlo antes de presupuestar 2027.

11. Avisos: cuatro cambios concretos

La fecha del acto u operación queda definida por actividad. El artículo 24 Bis fija cuál es la fecha que arranca el plazo de presentación: inmuebles y vehículos a la liquidación, desarrollo inmobiliario a la última aportación del mes calendario, donativos a la recepción. Conviene saber que arrendamiento y mutuo no aparecen en esa lista, así que para esas dos siguen rigiendo las reglas generales del Reglamento.

Copropietarios en arrendamiento. Cuando varios copropietarios rentan un inmueble, el umbral se mide contra la renta mensual total pactada, pero cada uno reporta su pago individual. Es contraintuitivo: tres hermanos que rentan en noventa mil pesos miden los tres contra noventa mil, no contra treinta mil cada uno.

El informe en ceros se parte en dos. Antes un solo artículo cubría dos situaciones. Ahora hay un informe para cuando no hubo operaciones objeto de aviso, y otro nuevo para cuando solo hubo operaciones exceptuadas por el artículo 27 Bis. Además, el informe ya no se puede modificar ni eliminar una vez enviado.

Dos avisos de veinticuatro horas, no uno. Aquí también conviene precisar qué es nuevo. Que el aviso proceda aunque la operación no se haya celebrado ya lo dice el artículo 7 Bis del Reglamento desde marzo de 2026. Lo que estas reglas agregan es la separación en dos supuestos con reglas propias: el aviso por sospecha, que nace de lo que observas en la operación, y el aviso por hechos o indicios, que nace de información de fuentes públicas o privadas ajenas al cliente. Y se aclara que ambos proceden aunque no se alcance el umbral. Serán exigibles seis meses después de que la UIF publique los formatos nuevos, que a la fecha siguen pendientes.

12. Activos virtuales: el régimen más detallado hasta ahora

La actividad vulnerable de activos virtuales existe desde 2018, pero la reforma a la Ley de 2025 la amplió y estas reglas la desarrollan con un nivel de detalle que no tenía.

Los umbrales de aviso son dos y funcionan por separado: cuando la operación del cliente alcanza o supera 210 veces la UMA, y cuando la contraprestación cobrada por el servicio alcanza o supera 4 veces la UMA. El artículo 24 Bis 5 aclara cómo se combinan: si solo se cumple uno, se presenta el aviso por ese inciso; si se cumplen los dos en la misma operación, se presenta un solo aviso. Y algo importante: las contraprestaciones se determinan por cada transacción individual y no se acumulan.

Se definen por primera vez dos conceptos que estaban en el aire. Hay custodia o almacenamiento cuando provees plataformas que te permiten mantener el control, salvaguarda o administración de los activos por cuenta del cliente; en ese caso el aviso debe incluir la fecha de inicio de la custodia, la dirección de la billetera y el valor en moneda nacional. Y hay facilitación o intermediación cuando provees infraestructura o interfaces que conectan o emparejan operaciones, aun cuando no mantengas el control de los activos.

Sobre la trazabilidad, hay que obtener y conservar diez años información precisa del originante, el receptor y, en su caso, el beneficiario controlador: nombre, país de residencia, identificador de cuenta o billetera, y por cada operación fecha y hora, tipo de activo, monto en activos y su equivalente en pesos, tipo de operación y comisión cobrada.

El alta también se endurece: hay que entregar el listado de accionistas con montos y su beneficiario controlador, el nombre comercial, los sitios y aplicaciones por las que operas, y los datos completos del representante. Quien ya esté dado de alta tiene seis meses desde la entrada en vigor para actualizar esa información.

13. Otros cambios que conviene tener en el radar

• Notificaciones del SAT. El portal debe consultarse todos los días hábiles, no el 15 y último de mes como antes. Tienes tres días hábiles para abrir un documento y la notificación se tiene por hecha al cuarto día hábil, lo hayas abierto o no. Se elimina la alerta por correo electrónico.
• Requerimientos. Cuando el SAT te pida información para corroborar tu alta, tienes diez días hábiles, prorrogables cinco a solicitud.
• Fideicomisos y asociaciones en participación. Quienes operen a través de estas figuras se dan de alta como tales y deben usar la e.firma de su propio RFC, no la del representante ni la del fiduciario. En una asociación en participación el trámite lo hace el asociante.
• Confidencialidad ampliada. Alcanza a la documentación del beneficiario controlador y a empleados sin distinción por esquema de contratación. Queda prohibido avisar al cliente sobre requerimientos de información y sobre órdenes de aseguramiento antes de que se ejecuten.
• Grupos empresariales. Obligación de políticas de cumplimiento centralizadas, aplicables a todas las sucursales y filiales de propiedad mayoritaria, incluidas las extranjeras.
• Organizaciones sin fines de lucro. La UIF emitirá medidas de riesgo de financiamiento al terrorismo, incluido el monitoreo de donantes y países de alto riesgo, y aplican aunque la organización no sea Actividad Vulnerable.
• Certificación de la UIF. Tiene vigencia de cinco años. Es voluntaria para el encargado de cumplimiento, pero obligatoria para el auditor externo.
• Identificaciones. La cédula profesional deja de ser identificación válida. Y como simplificación, deja de exigirse la constancia de CURP cuando el dato ya aparece en otro documento oficial.
• Constancia de beneficiario controlador. A los clientes personas físicas hay que recabarles una constancia firmada sobre si conocen la existencia de un beneficiario controlador.
• Días hábiles. Se cierra el calendario de días inhábiles e incluye el periodo de vacaciones del SAT. Durante esos días no corren plazos.

Calendario: cuándo aplica cada cosa

Queda pendiente que la UIF publique la resolución con los formatos nuevos de avisos. Los dos avisos de veinticuatro horas serán exigibles seis meses después de esa publicación.

En resumen: tu lista de pendientes

1. Revisar los expedientes de personas morales. Con el umbral en 25% y la cascada de tres escalones van a aparecer beneficiarios que hoy no tienes identificados. Es el trabajo más tardado y el plazo ya corre.
2. Estimar si tu empresa saldrá de riesgo alto. Define la diferencia entre auditarte internamente o contratar un auditor externo certificado cada año.
3. Preparar la capacitación desde enero de 2027. Sin registro documentado, no cuenta.
4. Verificar que tus sistemas conserven histórico. Se exigen diez años de cambios de grado de riesgo y de perfil transaccional por cliente.
5. Reescribir el manual con las catorce secciones y la metodología de riesgo incorporada.
6. Agregar la declaración de perfil transaccional a tu alta de clientes y definir los umbrales de desviación.

Es mucho, y buena parte se sostiene en poder demostrar con evidencia lo que hiciste y cuándo. En SiennaDocs ya estamos adaptando la plataforma en todo aquello que se resuelve dentro del sistema: el umbral de beneficiario controlador y su orden de identificación, la evaluación de riesgo del sujeto obligado, la clasificación y reevaluación de clientes, el perfil transaccional con su sistema de alertas, el expediente según el grado de riesgo, el tratamiento de personas políticamente expuestas, el manual de políticas internas, y los cambios en avisos, acumulación e informes, junto con la conservación del histórico que exige la reforma. Agenda una demostración y revisamos juntos qué le corresponde a tu empresa y en qué orden.

Preguntas frecuentes

¿Cuándo entra en vigor la reforma a las Reglas de Carácter General? El 30 de noviembre de 2026, salvo las excepciones de los artículos transitorios, que escalonan obligaciones hasta 2029.

¿Todas las empresas tienen que contratar un auditor externo? No. Solo si su evaluación de riesgo institucional arroja riesgo alto. Con riesgo bajo o medio basta con auditoría interna, siempre que la haga personal independiente del encargado de cumplimiento. Cualquiera puede optar por externa voluntariamente.

¿Qué es el perfil transaccional? Es el comportamiento esperado del cliente. Cada cliente declara los montos máximos mensuales que estima operar, ese perfil rige al menos seis meses y debe estar cargado en el sistema de alertas para detectar desviaciones.

¿Puedo seguir usando hojas de cálculo? La regla lo admite expresamente, siempre que cumplan las seis funciones mínimas del artículo 41 y sean verificables ante la autoridad. En la práctica, el requisito de conservar diez años de histórico de grado de riesgo y perfil por cliente es difícil de sostener así.

¿Cuándo serán exigibles los avisos de veinticuatro horas por sospecha e indicios? Seis meses después de que entre en vigor la resolución que modifique los formatos oficiales de avisos, que a la fecha no se ha publicado.

Este contenido es informativo y no constituye asesoría legal. Se apoya en el Acuerdo 115/2026 publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, en la LFPIORPI (DOF 16-07-2025) y en el Decreto de reforma a su Reglamento (DOF 27-03-2026); verifica siempre el texto vigente o acércate con un especialista.