Transmisores de Dinero y Pagos en México

Respuesta rápida: ¿por dónde empezar?

1. Si aún diseña el producto, dibuje quién recibe recursos en México, por qué contraprestación, bajo qué instrucción y quién los entrega. Empiece por el dossier 1.
2. Si compra o reorganiza una entidad, congele cambios críticos y mapee avisos, gobierno, OC, SITI y continuidad. Vaya al dossier 2.
3. Si el modelo es digital, una experiencia sin efectivo sigue necesitando identidad, geolocalización, perfil, alertas, conciliación y evidencia. Revise los dossiers 3 y 4.
4. Si investiga una alerta o coincidencia LPB, preserve datos, fije la línea de tiempo y distinga análisis, decisión y reporte. Consulte el dossier 5.
5. Si usa afiliadas, agentes o proveedores, clasifique por función real, acceso a fondos, datos y decisiones. Consulte el dossier 6.
6. Si conecta una IFPE, API, POS o programa de tarjetas, asigne responsabilidades por evento y alinee contrato, interfaz, datos, marca y fraude. Consulte el dossier 7.

Los siete dossiers

1. Registro, dictamen técnico y perímetro

El punto de partida no es el nombre comercial del producto sino el flujo jurídico de recursos: quién recibe, dónde los recibe, con qué habitualidad, por qué contraprestación y bajo qué instrucción los entrega o transfiere. Una vez confirmado el perímetro, el registro y el dictamen deben prepararse como un expediente único y consistente. Incluye los temas 81 a 90.

2. Cambios corporativos, control, gobierno y Oficial de Cumplimiento

En una entidad registrada, un cierre corporativo no termina con el libro de acciones. La transmisión, el cambio de control práctico, la integración del órgano de gobierno, la continuidad del Oficial de Cumplimiento y las credenciales regulatorias forman una sola ruta crítica. Incluye los temas 91 a 100.

3. Operación digital, SPEI, onboarding, geolocalización y sistemas

Digitalizar la experiencia no elimina controles: los convierte en datos, eventos y bitácoras. La arquitectura debe distinguir la transmisión de dinero de la infraestructura bancaria o IFPE que mueve los fondos y conservar evidencia de identidad, geolocalización, perfil, alertas y conciliación. Incluye los temas 101 a 110.

4. KYC de remitentes, beneficiarios, personas morales y transfronterizo

El expediente debe representar la operación real, no sólo a quien abrió la cuenta. En remesas y pagos transfronterizos conviven remitente, usuario, beneficiario, propietario real, cuenta de origen, cuenta de destino y, en ocasiones, un tercero pagador. Incluye los temas 111 a 120.

5. LPB, alertas, ROI, 24 horas, SITI y auditoría

Una alerta no es un reporte y una coincidencia no siempre es una identidad confirmada. El control defendible separa detección, análisis, decisión, escalamiento, envío y conservación del acuse, con relojes y responsables distintos. Incluye los temas 121 a 130.

6. Agentes, corresponsales, intercompany y contratos

La etiqueta contractual no decide el régimen. Importa si el tercero recibe o entrega recursos, interactúa con el usuario, toma decisiones de cumplimiento o sólo presta tecnología y soporte. La entidad conserva responsabilidad regulatoria aun cuando externaliza ejecución. Incluye los temas 131 a 140.

7. IFPE, API, POS, tarjetas, promotores, datos, marca y fraude

Las alianzas de pagos mezclan varias capas reguladas y comerciales. El contrato debe reflejar quién es la entidad frente al cliente, quién ejecuta pagos, quién promueve, quién trata datos, quién licencia la marca y quién absorbe fraude, contracargos e incidentes. Incluye los temas 141 a 150.

Cómo usar esta guía

Modelo de control defendible

Cómo determinar el perímetro sin depender del nombre del producto

La primera pregunta no es si la empresa se presenta como fintech, plataforma, procesador, agregador o proveedor tecnológico. El análisis comienza con el recorrido jurídico de los recursos. Debe identificarse quién recibe dinero o derechos en territorio nacional, de quién los recibe, bajo qué instrucción, si cobra una contraprestación y quién realiza la entrega o transferencia final. El diagrama comercial, el contrato, las cuentas bancarias y los eventos del sistema deben describir el mismo recorrido.

Ese examen funcional evita dos errores opuestos. El primero es asumir que toda plataforma que interviene en un pago es transmisor de dinero. El segundo es creer que una etiqueta como “mandato”, “cobranza” o “software” elimina la actividad aunque la operación real muestre recepción habitual e instrucciones de transferencia. Cuando existen varios participantes, conviene preparar una matriz por evento: instrucción, aceptación, fondeo, conversión, liquidación, entrega, devolución y reclamación. Para cada evento se registra titularidad, control, cuenta, dato fuente, comprobante y responsable.

La conclusión de perímetro debe conservar supuestos explícitos. Si el producto añade saldo almacenado, pagos a terceros, operación transfronteriza, efectivo, activos virtuales o una nueva entidad del grupo, el análisis se reabre antes del lanzamiento. Un memo que sólo describe la versión inicial no sirve como autorización permanente para funcionalidades futuras.

Ruta regulatoria por etapa de la empresa

Diseño y viabilidad

Antes de incorporar una sociedad o comprar una entidad, se define el producto mínimo, los países, monedas, canales, participantes, cuentas y modelo de ingresos. Con esa información se contrasta el perímetro de transmisor, IFPE, adquirencia, corresponsalía, comisión mercantil y servicios tecnológicos. La salida útil no es una etiqueta aislada, sino un mapa de actividades permitidas, reservadas, condicionadas y fuera de alcance, con decisiones que requieren confirmación adicional.

Registro y preparación operativa

Confirmado el régimen, el expediente corporativo, el dictamen técnico y la solicitud de registro deben construirse sobre una fuente maestra. Accionistas, propietarios reales, representante, domicilio, objeto, estructura de control y manifestaciones no pueden variar entre anexos. En paralelo se preparan manual, metodología, Oficial de Cumplimiento, sistema, contratos y accesos. Obtener un dictamen o registro no corrige por sí mismo un producto cuya operación contradice los documentos presentados.

Lanzamiento controlado

La salida a producción requiere una prueba integral con casos normales y excepciones. El equipo debe poder reconstruir una instrucción desde onboarding y geolocalización hasta entrega, conciliación, perfil, alertas, comprobante y conservación. También se prueban rechazo, devolución, intento de fraude, coincidencia en listas, interrupción del proveedor y recuperación. Las diferencias se cierran antes de aumentar volumen; no se trasladan indefinidamente a un backlog sin dueño.

Operación, cambio y supervisión

Una vez operativa, la entidad administra obligaciones periódicas y por evento. Cambios de accionistas, control, gobierno, Oficial de Cumplimiento, domicilio, agentes, sistemas, cuentas, productos o proveedores pueden activar avisos y ajustes coordinados. La evidencia debe permitir comparar lo aprobado, lo configurado y lo ejecutado. Frente a un requerimiento, la respuesta más sólida no es una narrativa extensa, sino una matriz que liga cada inciso con hecho, fundamento, archivo, responsable, fecha y acuse.

Diferencias que conviene resolver temprano

Estas diferencias deben resolverse en conjunto. Un contrato puede afirmar que la entidad no recibe recursos, mientras el estado de cuenta y el sistema muestran lo contrario. Un manual puede exigir geolocalización, pero la API no guardar el dato original. Una política puede asignar la investigación al Oficial de Cumplimiento, mientras el proveedor cierra alertas sin dejar insumos. El control consiste en identificar y reconciliar esas contradicciones antes de que se conviertan en hallazgo, incidente o reclamación.

Gobierno del programa de cumplimiento

El consejo o administrador necesita una vista ejecutiva que no confunda actividad con eficacia. Reportar que se revisaron alertas o se impartió capacitación es insuficiente si no se explica cobertura, excepción, causa y cierre. Un tablero útil distingue obligaciones vencidas, próximas, por evento y condicionadas a un cambio. Cada indicador debe conducir a evidencia recuperable y mostrar quién puede aprobar una excepción.

El Oficial de Cumplimiento requiere independencia práctica, acceso a información y continuidad. Su designación, aceptación, certificación cuando corresponda, aviso y acceso a SITI deben formar una sola secuencia. Cuando existe Comité de Comunicación y Control, las actas deben reflejar insumos, discusión, decisión, responsable y seguimiento; un formato repetido sin conexión con expedientes no demuestra supervisión real.

Producto y tecnología también son parte del gobierno regulatorio. Toda funcionalidad que cambie recepción, entrega, identidad, límites, datos, alertas o terceros debe pasar por una evaluación previa. La aprobación registra versión, supuestos, pruebas, riesgo residual y condición de despliegue. Después del lanzamiento se compara el resultado real con lo aprobado y se corrigen desviaciones.

Qué revisar en alianzas, APIs y proveedores

Las alianzas de pagos suelen repartir la experiencia del usuario entre varias entidades. Para evitar vacíos, el contrato y el diseño deben asignar cada evento: quién presenta el servicio, recibe la instrucción, autentica, identifica, monitorea, mueve recursos, atiende reclamaciones y conserva logs. La frase “cada parte cumplirá la normativa que le corresponda” no reemplaza esa asignación.

Una API debe preservar al actor, propósito, autorización, fecha, payload relevante, respuesta y cambio de estado. Las credenciales de servidor no deberían borrar qué usuario o proceso originó la instrucción. Deben existir controles de mínimo privilegio, idempotencia, rotación, detección de abuso y revocación. Cuando se procesan datos personales desde otro país, el mapa debe incluir acceso remoto, transferencias, subencargados y eliminación.

El proveedor crítico necesita niveles de servicio que midan más que disponibilidad. También importan oportunidad y calidad de KYC, entrega de evidencia, precisión de reglas, conservación de logs, atención de incidentes y cooperación regulatoria. El derecho de auditoría debe ser ejercitable en operación ordinaria y frente a incidentes. La salida se diseña desde el inicio: formato de exportación, continuidad temporal, transferencia de conocimiento, revocación de accesos y destrucción certificada.

Preguntas frecuentes de orientación

¿Un transmisor de dinero es lo mismo que una IFPE?

No. Son regímenes distintos y el análisis depende de funciones concretas. Un transmisor recibe habitualmente recursos o derechos para transferirlos o entregarlos conforme a una instrucción dentro del marco de la LGOAAC. Una IFPE opera fondos de pago electrónico bajo la Ley Fintech y autorización específica. Un producto puede conectar a entidades de ambos tipos, pero debe separar sus roles y no atribuir a una las facultades de la otra.

¿Usar SPEI elimina el régimen de transmisión de dinero?

No. SPEI es infraestructura de pagos y su uso directo o indirecto no sustituye el examen de la actividad de la empresa. El modelo debe identificar al participante que envía la orden al sistema, las cuentas empleadas, el control de instrucciones, la conciliación y la evidencia que conserva cada parte. También deben revisarse las reglas y contratos aplicables al acceso utilizado.

¿Puede externalizarse el cumplimiento?

Pueden contratarse herramientas y servicios, pero la entidad debe conservar dirección, acceso, supervisión y capacidad de demostrar el control. No conviene delegar decisiones sin un marco aprobado ni depender de una persona o proveedor para recuperar la única copia de la evidencia. El contrato debe fijar roles, SLA, confidencialidad, seguridad, auditoría, continuidad y salida.

¿Qué documento conviene preparar primero?

El diagrama de fondos y roles. A partir de él se construyen memo de perímetro, matriz regulatoria, contratos, manual, arquitectura de datos, pruebas y calendario. Si esos documentos se producen antes de acordar el flujo real, cada equipo llenará los vacíos con supuestos distintos y la inconsistencia aparecerá durante la integración o supervisión.

¿Cuándo debe solicitarse revisión jurídica?

Antes de constituir o adquirir la entidad, presentar un trámite, cambiar control o gobierno, lanzar un producto, integrar un tercero crítico o responder un incidente o requerimiento. La revisión no debe detener la preservación de evidencia ni los relojes regulatorios. Su función es fijar supuestos, disposición aplicable, alternativas y acciones concretas.

Principio de privacidad

Los ejemplos no reproducen expedientes ni identifican clientes. Se publican únicamente patrones abstractos y controles generalizables. Nombres, RFC, datos de contacto, cuentas, importes, fechas transaccionales y hechos combinables se excluyen; la evidencia completa permanece en un expediente editorial restringido.

Base legal

• Ley General de Organizaciones y Actividades Auxiliares del Crédito (texto vigente).
• Disposiciones legales aplicables a transmisores de dinero.
• Requisitos para obtener registro como transmisor de dinero.
• Circular 14/2017: disposiciones del SPEI, texto compilado.
• Ley para Regular las Instituciones de Tecnología Financiera (texto vigente).
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (texto vigente).

Corte normativo: 2026-07-09. Los formatos, catálogos y criterios operativos deben verificarse de nuevo antes de presentar o lanzar.

Siguiente paso

SVA.LAW puede revisar el flujo de fondos, perímetro, expediente de registro, gobierno, manual, sistema automatizado, KYC, reportes, terceros y contratos de pagos con una matriz única de hallazgos y evidencia.