Reforma a las Reglas de Carácter General en materia de PLD / FT

El presente memorándum desarrolla un análisis de las principales modificaciones incluidas en la reforma a las "Reglas de Carácter General a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita" (las "Reglas" o "RCG") contenida en el Acuerdo 115/2026, expedido por la Secretaría de Hacienda y Crédito Público (la "SHCP" o la "Secretaría"), publicado en el Diario Oficial de la Federación ("DOF") el 7 de agosto de 2026 (la "Reforma"). El análisis se elaboró exclusivamente con base en el texto íntegro del Acuerdo 115/2026, así como el texto vigente de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (la "Ley" o "LFPIORPI"), última reforma DOF 16 de julio de 2025, únicamente para contextualizar las remisiones que las Reglas hacen a la Ley.

Este memorándum tiene carácter informativo y regulatorio general; no constituye una opinión legal aplicada a un modelo de negocio, cliente o caso concreto. Cualquier aplicación a un supuesto operativo determinado requiere un análisis adicional que considere las circunstancias particulares aplicables.

Las Reglas fueron expedidas originalmente mediante el Acuerdo 02/2013 (DOF 23 de agosto de 2013) y reformadas mediante el Acuerdo 09/2014 (DOF 24 de julio de 2014, con aclaración del 31 de julio de 2014) y el Acuerdo 126/2020 (DOF 30 de noviembre de 2020, que incorporó el régimen de activos virtuales). Ese conjunto normativo constituye, para efectos de este memorándum, el "Texto Previo", sustancialmente modificado por el Acuerdo 115/2026 según se explica en las secciones 3 y 4 siguientes.

La Reforma no debe leerse de manera aislada, sino como la instrumentación administrativa de los cambios que, en un nivel jerárquico superior, introdujo la reforma a la propia LFPIORPI publicada en el DOF el 16 de julio de 2025, la cual sustituyó el concepto de "Dueño Beneficiario" por el de "Beneficiario Controlador" (artículo 3, fracción III de la Ley) y adicionó la fracción IX Bis a dicho artículo 3, definiendo a la "Persona Políticamente Expuesta" con remisión expresa a las reglas de carácter general que al efecto establezca la Secretaría. El Acuerdo 115/2026 armoniza así la terminología y obligaciones de las Reglas con dicha reforma legal, y desarrolla además, en el nivel reglamentario, un conjunto de obligaciones sustantivas nuevas en materia de administración de riesgos, conocimiento del cliente, capacitación y auditoría, según se detalla en la sección 4.

El Acuerdo 115/2026 fue suscrito por el C. Édgar Abraham Amador Zamora, Secretario de Hacienda y Crédito Público, fechado en la Ciudad de México el 24 de julio de 2026 y publicado en el DOF el 7 de agosto de 2026. Se compone de un Artículo Primero que reforma y adiciona un número extenso de artículos y capítulos de las Reglas, un Artículo Segundo que reforma, adiciona y deroga diversos Anexos, y doce artículos transitorios que establecen la entrada en vigor general y un conjunto de excepciones y plazos diferidos, analizados en la sección 3 siguiente.

La Reforma incorpora ocho capítulos completamente nuevos (Capítulos II Ter, II Quáter, III Ter, III Quáter, III Quinquies, XII, XIII y XIV) y modificando de manera sustancial otros cinco (Capítulos II, II Bis, III, III Bis y X). Para efectos del presente, se indicará primero cuál era el tratamiento conforme al Texto Previo (o si, sencillamente, no existía disposición alguna al respecto) y, en seguida, qué exige la Reforma a partir de su entrada en vigor.

La Reforma adiciona el Capítulo II Quáter, denominado "Enfoque Basado en Riesgo", que constituye probablemente el cambio de mayor calado conceptual de toda la Reforma. Conforme al artículo 10 Septies, quienes realicen Actividades Vulnerables deberán diseñar e implementar una metodología para llevar a cabo una evaluación de riesgos derivada de los actos u operaciones que realicen, así como de las personas Clientes o Usuarias con quienes los lleven a cabo, sus transacciones y canales de envío o distribución. Dicha metodología debe quedar establecida en el Manual de Políticas Internas o en un documento distinto, y debe describir todos los procesos para la identificación, análisis, entendimiento, medición y mitigación de los riesgos.

El artículo 10 Septies 1 exige que la metodología identifique, cuando menos, los siguientes elementos de riesgo: (a) actos u operaciones; (b) tipo de personas Clientes o Usuarias; (c) países y áreas geográficas; y (d) transacciones y canales de envío o distribución. Asimismo, exige utilizar un método de medición que asigne un valor a cada elemento e identificar los "Mitigantes" (definidos en el artículo 3, fracción XI Quinquies de las Reglas como las políticas, criterios, medidas y procedimientos que contribuyen a administrar y disminuir la exposición a los riesgos identificados) implementados al momento del diseño de la metodología. Un elemento particularmente relevante es que quienes lleven a cabo Actividades Vulnerables deberán establecer indicadores específicos relacionados con los delitos previstos en los artículos 139 Quáter (financiamiento al terrorismo) y 400 Bis (operaciones con recursos de procedencia ilícita) del Código Penal Federal.

El artículo 10 Septies 2 impone la obligación de utilizar, al menos, la información correspondiente al total del número de personas Clientes o Usuarias, número de actos u operaciones y monto operado durante un periodo no menor a doce meses; cuando no se cuente con operaciones dentro de dicho periodo (por ejemplo, tratamiento de negocios de reciente creación), deberá implementarse la metodología inicial con datos proyectados, actualizándola al cumplir los primeros doce meses de operación. La metodología debe revisarse y, en su caso, actualizarse cuando se detecten nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos que dé a conocer la UIF, o en un plazo no mayor a doce meses a partir de que se cuente con los resultados de su implementación. El SAT, por su parte, conserva la facultad de revisar y, en su caso, señalar ajustes a la metodología o a los Mitigantes cuando, entre otros supuestos, no se considere una debida administración de riesgos en el procedimiento de apertura, limitación o terminación de relaciones comerciales.

Este enfoque basado en riesgo no es un capítulo aislado: constituye el eje transversal del que derivan directamente el Capítulo III Bis (clasificación del grado de riesgo del Cliente), el Capítulo III Ter (conocimiento del Cliente y perfil transaccional), el contenido reforzado del Manual de Políticas Internas (Capítulo X) y los requisitos mínimos de los mecanismos automatizados (Capítulo XIII). Su correcta implementación condiciona, por tanto, el cumplimiento del resto del modelo.

Las Reglas adicionan el Capítulo III Bis, que obliga a contar con un modelo de evaluación de riesgos coherente con la metodología del Capítulo II Quáter para clasificar a cada Cliente o Usuaria por Grado de Riesgo individual. El artículo 23 Bis exige establecer, cuando menos, tres clasificaciones: Grado de Riesgo bajo, medio y alto, pudiendo establecerse grados intermedios adicionales. La determinación del Grado de Riesgo inicial debe realizarse con la información que proporcione cada Cliente o Usuaria, y la evaluación debe repetirse cuando menos cada seis meses, con una frecuencia mayor cuando el Grado de Riesgo también lo sea.

El artículo 23 Bis 2 detalla los factores de riesgo a considerar, distinguiendo entre (a) características inherentes (antecedentes del Cliente, tipo de persona, fecha de nacimiento o constitución, giro o actividad, nacionalidad, lugar de residencia, fuentes de ingreso, naturaleza y propósito de la relación) y (b) características transaccionales (tipo, volumen, frecuencia y monto de los actos u operaciones, número de contrapartes, origen y destino de los recursos, instrumento monetario y tipo de moneda). Adicionalmente, el artículo 23 Bis 3 exige factores de riesgo adicionales específicamente aplicables a Personas Políticamente Expuestas de nacionalidad mexicana, orientados a verificar que su comportamiento transaccional sea razonable respecto de sus ingresos, funciones y nivel de responsabilidad.

Particularmente relevante es el artículo 23 Bis 4, que establece una calificación de riesgo alto de aplicación obligatoria (no discrecional) respecto de personas Clientes o Usuarias no residentes en territorio mexicano que estén vinculadas o tengan efectos en países o jurisdicciones que la legislación mexicana considere de regímenes fiscales preferentes, o en países respecto de los cuales autoridades mexicanas u organismos internacionales de los que México sea miembro determinen que no cuentan con medidas suficientes para prevenir, detectar y combatir operaciones con recursos de procedencia ilícita, así como respecto de Personas Políticamente Expuestas extranjeras. En estos casos, quienes realicen la Actividad Vulnerable deberán documentar las razones por las que dichos Clientes celebraron actos u operaciones en territorio mexicano, y la UIF pondrá a disposición, a través del Portal en Internet, la lista de países y jurisdicciones aplicables.

El nuevo Capítulo III Ter exige elaborar y observar una política de conocimiento del Cliente que incluya, cuando menos: políticas y controles para mitigar riesgos alineados a la metodología del Capítulo II Quáter; procedimientos de seguimiento y monitoreo de los actos u operaciones; procedimientos para el debido conocimiento del "Perfil transaccional" de cada Cliente (definido en el artículo 3, fracción XI Sexties, como el conjunto de elementos que permiten identificar el comportamiento esperado de sus actos u operaciones, considerando monto, frecuencia, zona geográfica, origen y destino de recursos y actividad económica, entre otros); los supuestos en que los actos u operaciones se aparten de dicho perfil; y los criterios para asignar y, en su caso, modificar el Grado de Riesgo.

El artículo 23 Ter 2 introduce la obligación de tener e implementar un sistema de alertas que permita detectar oportunamente cambios en el comportamiento o Perfil transaccional del Cliente que pudieran ubicarse en los supuestos de los artículos 139 Quáter o 400 Bis del Código Penal Federal. Para Clientes de Grado de Riesgo alto, el artículo 23 Ter 3 exige requerir mayor información sobre su actividad preponderante y realizar una revisión y monitoreo más estricto, incluyendo cuestionarios de identificación que pueden realizarse por medios remotos, digitales o electrónicos, siempre que contengan Firma Electrónica sobre el origen y destino de los recursos.

El artículo 23 Ter 4 detalla las medidas reforzadas aplicables a Clientes de Grado de Riesgo alto: para personas físicas, adoptar medidas reforzadas para conocer el origen y destino de los recursos y, en su caso, obtener datos del cónyuge y dependientes económicos, así como de sociedades y asociaciones con las que mantenga vínculos patrimoniales; para personas morales, obtener mayor información de sus principales accionistas o socios, verificando la información proporcionada contra los registros electrónicos de la Secretaría de Economía; y, tratándose de Personas Políticamente Expuestas extranjeras, obtener además la documentación del cónyuge y personas relacionadas. Finalmente, el artículo 23 Ter 5 exige, cuando se detecte que un Cliente reúne los requisitos de Persona Políticamente Expuesta con Grado de Riesgo alto, obtener la aprobación de un directivo o su equivalente antes de continuar la relación u operación.

Consistente con la reforma legal de 2025 descrita en la sección 2.2, las Reglas sustituyen por completo la referencia al anterior "Dueño Beneficiario" por la de "Beneficiario Controlador" en todo su articulado y adicionan el Capítulo III Quinquies, dedicado íntegramente a su identificación. Conforme al artículo 23 Quinquies, quienes realicen Actividades Vulnerables deberán establecer en su Manual de Políticas Internas los criterios, medidas y procedimientos para identificar al Beneficiario Controlador, observando el siguiente orden de prelación: (i) la persona física o grupo de personas físicas que directa o indirectamente adquiera, sea titular o posea, por cualquier título legal, el veinticinco por ciento o más de la composición accionaria o parte social del Cliente; (ii) en su defecto, la persona o grupo que tenga el control del Cliente por otros medios relacionados con la estrategia, toma de decisiones y dirección de sus principales políticas; y (iii), en su defecto, la persona que ocupe la posición de funcionario administrativo de mayor grado o alta dirección.

El artículo 23 Quinquies 1 desarrolla reglas específicas para fideicomisos, considerando como Beneficiario Controlador a cualquier persona física que, en última instancia, ejerza el control efectivo sobre el fideicomiso mediante facultades contractuales, legales o de cualquier otra naturaleza, pudiendo tener el carácter de fiduciarios, fideicomitentes, fideicomisarios, protectoras o miembros del comité técnico. Cuando dichas personas sean, a su vez, personas morales o estructuras jurídicas, deberá identificarse a la persona física que, ascendiendo en la cadena de titularidad y control, ejerza en última instancia dicho control. La identificación del Beneficiario Controlador debe realizarse con carácter previo a la realización del acto u operación o, a más tardar, al momento del establecimiento de la Relación de negocios, y debe documentarse, conservarse y mantenerse actualizada durante toda la vigencia de dicha relación.

El artículo 23 Quinquies 2 introduce dos supuestos de excepción en los que no será necesario recabar los datos de identificación del Beneficiario Controlador: (i) cuando el Cliente sea un fideicomiso o persona moral que cotice en bolsas de valores mexicanas o en mercados de valores del exterior reconocidos por la legislación mexicana, siempre que se proporcione la clave de pizarra, referencia o identificador correspondiente; y (ii) cuando el Cliente sea una persona moral de las previstas en los Anexos 4 Bis, 6 Bis, 7-A y 7 Bis A (esencialmente, personas morales de derecho público y entidades gubernamentales o internacionales específicamente listadas). Finalmente, el artículo 23 Quinquies 3 permite considerar, para el cumplimiento de este Capítulo, los lineamientos que emita la UIF, previa opinión del SAT.

En desarrollo de la fracción IX Bis del artículo 3 de la Ley (introducida en la reforma legal de 2025), las Reglas adicionan el Capítulo III Quáter, que precisa el concepto de Persona Políticamente Expuesta ("PEP"), incluyendo a jefes de Estado o de gobierno, líderes políticos, funcionarios gubernamentales, judiciales o militares de alta jerarquía, altos ejecutivos de empresas estatales y funcionarios o miembros importantes de partidos políticos y organizaciones internacionales. Se asimilan a PEP el cónyuge, la concubina, el concubinario y las personas con parentesco por consanguinidad o afinidad hasta el segundo grado, así como los asociados o socios con quienes mantengan vínculos patrimoniales. Las PEP nacionales conservan tal carácter durante el año siguiente a aquel en que hubiesen dejado su cargo (con una regla de extensión adicional cuando el acto u operación se realice dentro del año inmediato anterior a la pérdida de dicho carácter).

El artículo 23 Quáter 1 formaliza el uso obligatorio de la aplicación "Consulta PEP 2.0" dentro de la página oficial de la UIF para la consulta de PEP nacionales, utilizando la Firma Electrónica Avanzada empleada en el trámite de alta y registro. Las Entidades Financieras pueden solicitar a la UIF, mediante escrito libre, que se les habilite el acceso a dicha aplicación, sujeto al cumplimiento de sus obligaciones en materia de prevención de operaciones con recursos de procedencia ilícita. El artículo 23 Quáter 2 impone a las autoridades y organismos públicos la obligación de proporcionar a la UIF la información listada en el nuevo Anexo 10 (datos personales y de dependientes económicos de personas servidoras públicas), mediante archivo en formato Excel cargado en la propia aplicación.

El Capítulo II Bis, cuya denominación se reforma a "Alta y Registro de Proveedores de Servicios de Activos Virtuales", precisa el listado documental que dichos proveedores ("PSAV") deben entregar físicamente al SAT, incluyendo un listado detallado de personas físicas y morales que mantengan participación en su capital social (con nombre, nacionalidad, domicilio, CURP y RFC, número de acciones y valor nominal) y la información correspondiente a su Beneficiario Controlador. Los artículos 10 Ter y 10 Quáter, ya existentes, se mantienen en cuanto a los plazos para subsanar inconsistencias (cinco días hábiles) y para concluir el trámite de alta y registro (treinta días hábiles a partir de que el SAT informe por escrito haber recibido la totalidad de la documentación).

Las Reglas adicionan un bloque completo de disposiciones relativas al contenido de los Avisos en materia de activos virtuales (artículo 24 Bis 2), exigiendo información precisa sobre el originante, el receptor y, en su caso, el Beneficiario Controlador, incluyendo nombre o razón social, país o jurisdicción de residencia, identificador de cuenta o wallet, fecha y hora de la operación, tipo de activo virtual, monto expresado en activos virtuales y su equivalente en moneda nacional, tipo de operación y comisión cobrada por el servicio. Dicha información debe conservarse por diez años y entregarse a la UIF, o al SAT en ejercicio de sus facultades de supervisión, previo requerimiento.

Los nuevos artículos 24 Bis 3 y 24 Bis 4 definen, respectivamente, qué se entiende por custodia o almacenamiento de activos virtuales (cuando el PSAV provee servicios o plataformas que permiten mantener el control, salvaguarda o administración de activos virtuales por cuenta de un Cliente) y por facilitación o intermediación (cuando el PSAV provee infraestructura, interfaces o plataformas electrónicas que conectan, concilian o emparejan operaciones de compra, venta, intercambio o custodia de activos virtuales, aun sin mantener el control de estos). Cuando en una operación de facilitación o intermediación participe más de un PSAV, nacional o extranjero, cada uno debe cumplir de manera independiente con sus propias obligaciones respecto de sus Clientes o Usuarias.

El artículo 24 Bis 5 introduce reglas específicas de acumulación de umbrales para el inciso b) de la fracción XVI del artículo 17 de la Ley (contraprestaciones cobradas por el PSAV): (i) cuando la operación alcance o supere doscientas diez veces el valor diario de la UMA, pero la contraprestación sea inferior a cuatro veces dicho valor, el Aviso se presenta únicamente por el inciso a) de la fracción XVI; (ii) cuando la contraprestación alcance o supere cuatro veces el valor diario de la UMA, pero el monto de la operación sea inferior a doscientas diez veces dicho valor, el Aviso se presenta únicamente por el inciso b); y (iii) cuando se cumplan ambos supuestos simultáneamente, se presenta un solo Aviso correspondiente al inciso a). Estas contraprestaciones se determinan de forma individual por cada transacción u operación realizada, sin ser objeto de acumulación mensual.

Se adiciona el Capítulo II Ter para regular específicamente el alta, baja y actualización de integrantes o miembros de fideicomisos y otras figuras jurídicas (por ejemplo, asociaciones en participación), a través de una herramienta publicada en el Portal en Internet que genera un archivo en formato XML con la información correspondiente conforme a los nuevos Anexos 2 Bis (fideicomisos) y 2 Ter (otras figuras jurídicas), descritos en la sección 4.15. Cuando se trate de una Asociación en Participación, el artículo 10 Sexies 1 designa expresamente al asociante como responsable de realizar el trámite de alta y registro, utilizando su propia Firma Electrónica Avanzada asociada al Registro Federal de Contribuyentes de dicha Asociación.

Conforme al nuevo artículo 26 Bis, para efectos del segundo párrafo de la fracción VI del artículo 18 de la Ley, el Aviso por sospecha deberá enviarse dentro de las veinticuatro horas siguientes a que, tomando en consideración la información recabada para la identificación del Cliente y las características con las que comúnmente se llevan a cabo los actos u operaciones, quien realice la Actividad Vulnerable reconozca alguna actividad, conducta o comportamiento inusual que pudiera estar vinculado con Delitos de Operaciones con Recursos de Procedencia Ilícita o delitos relacionados; este supuesto corresponde, en esencia, al que regulaba el artículo 27 derogado. El nuevo artículo 26 Bis 1 extiende, por primera vez, esta obligación de veinticuatro horas a los casos en que la sospecha derive de información obtenida de otras fuentes públicas o privadas (y no únicamente del análisis de la operación misma), supuesto que el Texto Previo no contemplaba.

El nuevo artículo 26 Bis 2 aclara, también por primera vez, que estos Avisos podrán enviarse aun cuando el acto u operación no cumpla con el monto o condición para ser objeto de Aviso conforme al artículo 17 de la Ley, e incluso cuando el acto u operación no se haya llegado a celebrar, siempre que se cuente con datos que permitan identificar al Cliente o Usuaria, o a quien intentó llevarlo a cabo. El artículo 27, que subsiste con nueva redacción, conserva únicamente la obligación de presentar Aviso, dentro del plazo señalado en los artículos 26 Bis y 26 Bis 1, cuando se trate o se pretenda tratar con personas incluidas en el listado a que hace referencia el artículo 38 de las Reglas (mecanismos de prevención de la UIF). Como se explicó en la sección 3.5, la operatividad práctica de este régimen de veinticuatro horas queda condicionada, conforme al Quinto Transitorio, a la publicación de la Resolución que actualice los formatos oficiales de Avisos e Informes.

El artículo 37 Bis, de nueva creación, establece un contenido mínimo obligatorio del Manual de Políticas Internas integrado por catorce fracciones: criterios de identificación y conocimiento de Clientes; mecanismos de clasificación de riesgo; medidas de debida diligencia conforme al Grado de Riesgo; procedimientos de identificación y seguimiento reforzado de PEP; mecanismos para detectar desviaciones del Perfil transaccional; procedimientos para la presentación de Avisos e Informes; mecanismos de conservación de información; mecanismos de seguimiento y acumulación de operaciones; mecanismos para identificar personas incluidas en listas de organismos nacionales o internacionales; funciones y responsabilidades de la persona Representante Encargada de Cumplimiento; programas de capacitación; mecanismos de control interno, supervisión y auditoría; medidas de confidencialidad; y procedimientos para la actualización del propio Manual.

El artículo 37 Bis 1 introduce una obligación específica para quienes formen parte de un Grupo Empresarial: implementar políticas y mecanismos centralizados de cumplimiento, aplicables a todas las sucursales y filiales de propiedad mayoritaria, incluidas las extranjeras, siempre que sean aplicables a todos los integrantes, permitan compartir información para fines de mitigación e identificación de riesgos, y garanticen el cumplimiento individual de cada sucursal o filial. Por su parte, el artículo 37 Bis 2 permite a quienes determinen que no llevarán a cabo actos u operaciones bajo ciertos supuestos, quedar exentos de establecer políticas para dichos supuestos, siempre que hagan constar esa circunstancia en el propio Manual; la exención deja de aplicar en el momento en que se decida realizar tales actos u operaciones. Finalmente, el artículo 37 Bis 3 confirma la facultad del SAT de ordenar modificaciones al Manual cuando lo considere necesario para el cumplimiento de las Reglas.

Se adiciona un Capítulo completo dedicado a la capacitación y selección de personal. El artículo 39 Bis obliga a implementar programas de capacitación dirigidos a los miembros del consejo de administración, al administrador único, directivos, funcionarios, la persona Representante Encargada de Cumplimiento y, en todo caso, a los empleados que laboren en áreas de atención al público, participen en la identificación o conocimiento del Cliente, en el envío de Avisos o realicen actividades de auditoría. Dicha capacitación debe impartirse, cuando menos, una vez al año, y cubrir como mínimo el conocimiento de la Ley, el Reglamento, las Reglas y el Manual de Políticas Internas, los actos u operaciones del artículo 17 de la Ley y los riesgos a los que está expuesto quien realiza la Actividad Vulnerable, además de contenidos sobre técnicas y tendencias para prevenir los delitos de los artículos 139 Quáter y 400 Bis del Código Penal Federal. Quienes impartan la capacitación deben acreditar experiencia de al menos cinco años en la materia.

El artículo 39 Bis 1 exige conservar, por un plazo mínimo de diez años, evidencia documental de los programas, talleres, materiales, listas de asistencia, evaluaciones y constancias correspondientes; para expedir constancias, debe practicarse una evaluación de conocimientos, y el Manual de Políticas Internas debe establecer las medidas aplicables a quienes no obtengan resultados satisfactorios. El artículo 39 Bis 2, cuya aplicación a nuevas contrataciones se difiere al primero de marzo de dos mil veintisiete conforme al Sexto Transitorio, exige establecer procedimientos de selección que garanticen calidad técnica, experiencia y honorabilidad del personal, incluyendo una declaración firmada en la que conste, entre otros aspectos, que la persona no ha sido sentenciada por delitos patrimoniales ni inhabilitada para ejercer el comercio o desempeñar un cargo público.

El artículo 41 exige que los mecanismos automatizados a que se refiere la fracción X del artículo 18 de la Ley sean razonablemente adecuados al volumen, naturaleza, complejidad y riesgo de quien realiza la Actividad Vulnerable, y que desarrollen, cuando menos, seis funciones: (i) conservar, actualizar y permitir la consulta de la información de los expedientes únicos de identificación; (ii) agrupar en una base consolidada los actos u operaciones del mismo Cliente para monitorear e identificar desviaciones del Perfil transaccional, así como llevar a cabo la acumulación prevista en la Ley; (iii) proveer la información requerida por la metodología del Capítulo II Quáter; (iv) ejecutar el modelo de evaluación de riesgos del Capítulo III Bis, conservando los registros históricos de Grado de Riesgo y Perfil transaccional por un periodo no menor a diez años; (v) ejecutar un sistema de alertas respecto de Clientes de Grado de Riesgo alto, PEP, personas incluidas en listados de prevención o vinculadas a jurisdicciones de riesgo; y (vi) monitorear el uso de efectivo y metales preciosos conforme al artículo 32 de la Ley.

La Reforma introduce, por primera vez en las Reglas, la obligación de someterse a una auditoría anual. Conforme al artículo 42, quienes realicen Actividades Vulnerables deben mantener medidas de control que incluyan la revisión, del primero de enero al treinta y uno de diciembre de cada año, por un auditor de su área de auditoría interna o por una persona auditora externa independiente, que evalúe y dictamine la efectividad del cumplimiento de la Ley, el Reglamento y las Reglas. Los resultados deben presentarse al consejo de administración, al administrador único o a la dirección general, según corresponda.

La Reforma distingue el tipo de auditor según el Grado de Riesgo del sujeto obligado: conforme al artículo 44, cuando el Riesgo se evalúe como bajo o medio, el dictamen puede emitirse por un área de auditoría interna o de control interno, independiente de la persona Representante Encargada de Cumplimiento; conforme al artículo 45, cuando se elija o el Riesgo se evalúe como alto, la revisión debe realizarse por una persona auditora externa independiente que cumpla requisitos específicos: título y cédula profesional en derecho, contaduría, finanzas, administración de empresas, informática o áreas afines; experiencia mínima de tres años en prevención de operaciones con recursos de procedencia ilícita; certificación vigente otorgada por la UIF; no haber sido sentenciado por delitos patrimoniales; no haber prestado servicios previos al auditado durante el periodo auditado que generen conflicto de interés; y no haber fungido como Representante Encargada de Cumplimiento del auditado durante el periodo auditado ni los dos años posteriores.

Los artículos 47 a 49 detallan el contenido mínimo del dictamen de auditoría, que debe estar dividido en secciones de presentación, objeto, volumen de información y muestreo, proceso de auditoría, hallazgos, resultados de cumplimiento y acciones correctivas. El artículo 48 establece una escala de cinco resultados posibles por cada obligación evaluada: cumple, cumple mayoritariamente, cumple parcialmente, no cumple y no aplica, cada uno con criterios objetivos de calificación. Conforme al artículo 50, la revisión y emisión del dictamen debe realizarse dentro de los primeros tres meses siguientes al cierre del año auditado, entregándose a más tardar el último día hábil de marzo, y el artículo 51 exige conservar el dictamen y su documentación soporte por un plazo no menor a cinco años. Como se señaló en la sección 3.8, el primer periodo auditable conforme al Octavo Transitorio corre del primero de enero al treinta y uno de diciembre de dos mil veintiocho.

Conforme al artículo 35 reformado, el intercambio de información entre personas que realicen Actividades Vulnerables y formen parte del mismo Grupo Empresarial debe limitarse a los casos en que tenga como finalidad fortalecer las medidas y procedimientos para prevenir y detectar actos u operaciones que posiblemente sirvan para la comisión de los delitos establecidos en los artículos 1 y 19 del Reglamento; debe realizarse exclusivamente entre dos o más personas que realicen Actividades Vulnerables dentro del mismo Grupo Empresarial; solo puede solicitarse por el representante designado ante el SAT; la respuesta debe darse por escrito, firmada por dicho representante, dentro de un plazo máximo de treinta días hábiles; y la información recibida solo puede ser utilizada por quien la solicitó. El artículo también exige garantizar la seguridad y confidencialidad de la información intercambiada, mediante los mecanismos que se describan en el Manual de Políticas Internas.

Además de las adiciones descritas, la Reforma deroga diversas porciones normativas cuya eliminación reduce o simplifica obligaciones que sí existían en el Texto Previo: (i) los párrafos segundo y tercero del artículo 6, que preveían que, previo a la notificación formal, se pudiera enviar al correo electrónico registrado una alerta informativa sobre la existencia de un documento pendiente de revisión en el Portal en Internet, y que dicha cuenta de correo pudiera actualizarse por el propio sujeto obligado; con la Reforma, ese mecanismo de alerta previa desaparece y subsiste únicamente el esquema de notificación formal a través del Portal; (ii) los párrafos segundo y tercero del artículo 7, que facultaban al SAT para actualizar de oficio la información del registro con base en datos de otras dependencias y dar aviso de ello al sujeto obligado dentro de los diez días hábiles siguientes; con la Reforma, esa facultad de actualización oficiosa por el SAT se elimina, y la actualización del registro queda a cargo de quien realiza la Actividad Vulnerable, conforme al artículo 7 vigente; (iii) el primer párrafo del artículo 27, sustituido por el nuevo esquema de los artículos 26 Bis, 26 Bis 1 y 26 Bis 2 descrito en la sección 4.8; y (iv) el artículo 36 en su integridad, que regulaba el acuse de recibo de las notificaciones electrónicas (estableciendo que estas surtían efectos al momento de acusarse su recepción o, en su defecto, a los cinco días hábiles siguientes a que la autoridad las pusiera a disposición). Esta última derogación no debe leerse como un reemplazo directo por el nuevo artículo 36 Bis, ya que este último regula una materia distinta los días y horas hábiles para las actuaciones y diligencias del SAT, por lo que la Reforma simplemente suprime la regla específica de acuse de recibo sin sustituirla por una equivalente dentro del propio artículo 36.

Asimismo, se deroga la fracción VII del artículo 3 (definición de "Dueño Beneficiario"), consistente con su sustitución por "Beneficiario Controlador" explicada en la sección 4.4, y se deroga el numeral v) del inciso b) del Anexo 6 Bis (relativo a la constancia de conocimiento del Dueño Beneficiario respecto de embajadas, consulados y organismos internacionales), quedando dicha materia comprendida ahora dentro del régimen general de Beneficiario Controlador.

El Artículo Segundo del Acuerdo 115/2026 reforma los Anexos 1, 2, 3, 4, 4 Bis, 5, 6, 6 Bis, 7, 7 Bis, 8 y 9, principalmente para: (i) sustituir toda referencia al "Dueño Beneficiario" por "Beneficiario Controlador"; (ii) incorporar, en los Anexos de identificación de personas morales (Anexos 4, 4 Bis, 6, 6 Bis, 7 y 7 Bis), la obligación de recabar los datos completos del representante, apoderado legal o persona que realice el acto u operación a nombre de la persona moral, incluyendo nombre completo sin abreviaturas, fecha de nacimiento, RFC o CURP y datos de su identificación; y (iii) precisar, en el Anexo 3 (personas físicas), la obligación de asentar la actividad, ocupación, profesión o giro del negocio del Cliente cuando se establezca una Relación de negocios.

Se adicionan dos Anexos completamente nuevos: el Anexo 2 Bis, que establece los datos de identificación para el alta y registro de quienes actúen a través de un fideicomiso (datos del fideicomiso, del fiduciario, del delegado fiduciario persona física, de los fideicomitentes y de los fideicomisarios, distinguiendo si se trata de personas físicas, morales o fideicomisos); y el Anexo 2 Ter, que establece los datos correspondientes para quienes actúen a través de otra figura jurídica (por ejemplo, asociaciones en participación), incluyendo los datos de la figura jurídica y de sus integrantes en su carácter de asociante, asociado u otro. Ambos Anexos son la base documental del nuevo Capítulo II Ter descrito en la sección 4.7.

Finalmente, se adiciona el Anexo 10, que enlista la información de identificación que las autoridades y organismos deben proporcionar a la UIF respecto de personas servidoras públicas consideradas Políticamente Expuestas (datos personales, área de adscripción, domicilio, fechas de alta y baja en el puesto, y datos de dependientes económicos), conforme al artículo 51 Ter de la Ley y al artículo 23 Quáter 2 de las Reglas descrito en la sección 4.5.

Entidades Colegiadas (Capítulo V). Antes de la Reforma, el artículo 29 exigía que la solicitud de convenio de una Entidad Colegiada contuviera los datos y documentos del Anexo 9, sin precisar un plazo mínimo de conservación de la información. Con la Reforma, se agrega la obligación expresa de que la Entidad Colegiada establezca en el convenio que la información y documentación en su poder será conservada por un periodo no menor a diez años a partir de la fecha del acto u operación correspondiente.

Confidencialidad (Capítulo VI). El artículo 31 ya imponía, antes de la Reforma, un deber general de confidencialidad a los miembros del consejo de administración, directivos, funcionarios, la persona Representante Encargada de Cumplimiento, empleados, apoderados y factores de quien realiza la Actividad Vulnerable. Con la Reforma, dicho deber se reformula para precisar expresamente que también comprende la documentación relativa a la identificación y estructura de control del Beneficiario Controlador, en línea con el nuevo Capítulo III Quinquies descrito en la sección 4.4.

Otras obligaciones (Capítulo VII). El artículo 34, que ya exigía establecer criterios para clasificar a los Clientes por nivel de riesgo, se reformula para remitir expresamente a los nuevos Capítulos III Bis y IV. Se adiciona, además, el artículo 34 Ter, que aclara que quienes realicen Actividades Vulnerables bajo los Apartados C y D de la fracción XII del artículo 17 de la Ley (esencialmente, servicios de fe pública) deben observar, en lo conducente, los nuevos Capítulos II Quáter, III Bis, III Ter, X, XII, XIII y XIV, conforme a las facultades que les reconozcan sus propias leyes y disposiciones normativas.

El Acuerdo 115/2026 representa la reforma más extensa que han sufrido las Reglas desde su expedición en dos mil trece, tanto por el número de capítulos, artículos y Anexos que modifica, como por el cambio de modelo regulatorio que introduce: de un esquema centrado predominantemente en umbrales de identificación y presentación de Avisos, hacia un esquema de administración integral de riesgos, con obligaciones explícitas de evaluación, clasificación, monitoreo, capacitación y auditoría.

La Reforma es, a la vez, la instrumentación administrativa de la reforma legal de dos mil veinticinco (Beneficiario Controlador, Personas Políticamente Expuestas) y el vehículo mediante el cual se incorpora un enfoque basado en riesgo alineado con estándares internacionales en la materia. El régimen transitorio, compuesto por doce artículos con plazos escalonados entre el treinta de noviembre de dos mil veintiséis y el treinta y uno de diciembre de dos mil veintiocho, exige que quienes realizan Actividades Vulnerables no asuman una única fecha de cumplimiento, sino que construyan un calendario diferenciado por obligación, siendo la fecha del primero de marzo de dos mil veintisiete particularmente relevante, al ser el momento en que se activan las obligaciones sustantivas de los nuevos Capítulos III Bis, III Ter y III Quinquies.