La Secretaría de Hacienda y Crédito Público (SHCP) exigirá a quienes realizan actividades vulnerables (fintechs, casinos e inmobiliarias, entre otras) que cuenten con mecanismos automatizados, bajo un enfoque basado en riesgos (EBR), para fortalecer el monitoreo de operaciones y la evaluación de riesgos de sus clientes.
Las nuevas Reglas de carácter general a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicadas el pasado 7 de agosto, establecen además que los sujetos obligados deberán diseñar e implementar una metodología para identificar, evaluar y clasificar los riesgos asociados con sus clientes y operaciones.
Hacienda señaló en un comunicado que el EBR será el principio rector del nuevo esquema de cumplimiento.
La reforma representa un cambio en la forma de gestionar el cumplimiento: los sujetos obligados no solo deberán dar seguimiento a las operaciones realizadas, sino también evaluar los riesgos asociados con sus clientes, establecer perfiles transaccionales y utilizar mecanismos automatizados para monitorear de manera continua su comportamiento.
También deberán generar alertas ante actos u operaciones que se pretendan realizar con clientes clasificados como de alto riesgo, así como cuando involucren a personas políticamente expuestas (PEP, por sus siglas en inglés) o a personas incluidas en las listas previstas por las reglas.
Cuando una persona sea considerada PEP y además tenga un grado de riesgo alto, deberá obtenerse la aprobación de un directivo o equivalente para realizar los actos u operaciones correspondientes.
Índice de temas
Calendario de cumplimiento y fechas clave
La implementación será gradual. Hacienda indicó que el calendario busca permitir que los sujetos obligados actualicen sus procesos internos y desarrollen las capacidades necesarias para cumplir con el nuevo marco regulatorio.
La evaluación de riesgos bajo el EBR deberá estar a disposición de las autoridades a partir del 1 de marzo de 2027, mientras que los sujetos obligados deberán contar con los mecanismos automatizados a más tardar el 1 de junio de ese año.
Por su parte, la dependencia tiene un plazo de ocho meses a partir de la entrada en vigor del acuerdo (el 30 de noviembre de 2026) para implementar los sistemas tecnológicos de notificaciones electrónicas, por lo que ese plazo vencerá el 30 de julio de 2027.
Sujetos obligados y alcance de las nuevas reglas
Las nuevas reglas se aplicarán a las personas físicas y morales que realizan “actividades vulnerables”; es decir, desde sectores como casinos, inmobiliarias, joyerías y servicios de fe pública, hasta distintas entidades del sistema financiero.
Entre ellas se encuentran las Instituciones de Tecnología Financiera (ITF) —conocidas como fintechs—, transmisores de dinero, centros cambiarios y otras instituciones comprendidas en el marco regulatorio.
El marco también contempla a los proveedores de servicios de activos virtuales (criptoactivos) y a quienes realicen actividades a través de fideicomisos u otras figuras jurídicas, conforme a los supuestos previstos por las reglas.
Además, las disposiciones establecen obligaciones específicas para asociaciones y sociedades sin fines de lucro con propósitos altruistas, religiosos o sociales, incluso cuando no se encuadren en las categorías tradicionales de vulnerabilidad.
Estas organizaciones deben aplicar medidas proporcionadas y fundamentadas para mitigar la posibilidad de ser utilizadas en actividades ilícitas.
Requerimientos para mecanismos automatizados
El artículo 3 del reglamento incorpora el concepto de mecanismos automatizados , definidos como sistemas tecnológicos o hardware de software especializado para el monitoreo y la revisión continua de las acciones y operaciones.
Conforme al artículo 41, estos sistemas informáticos deberán consolidar en una base de datos única las operaciones de un mismo cliente, permitiendo mantener la trazabilidad de su actividad transaccional y analizar su perfil en función de montos, frecuencia, origen, destino y ubicación geográfica.
Las reglas no prescriben una tecnología específica para cumplir con estas obligaciones. No establecen el uso de inteligencia artificial, machine learning, algoritmos determinados o una arquitectura tecnológica concreta; cada sujeto obligado deberá definir cómo implementar los mecanismos automatizados requeridos de acuerdo con su operación, nivel de riesgo y metodología de evaluación.
De hecho, la definición de mecanismos automatizados contempla sistemas informáticos especializados, así como procesos apoyados en hojas de cálculo, bases de datos u otros medios equivalentes, siempre que cumplan con los requisitos establecidos.
Obligaciones de automatización por sector
En el ámbito de las ITF y los proveedores de servicios de activos virtuales, las organizaciones deberán registrar información sobre las transacciones con activos virtuales, incluidos los datos de las cuentas o direcciones digitales de origen y destino, fecha y hora, tipo de activo, monto y comisiones.
La normativa extiende este control técnico a sociedades sin fines de lucro que gestionen donativos altruistas, así como a fideicomisos y grupos corporativos que compartan expedientes de identificación o mantengan políticas centralizadas de cumplimiento.
En el sector de juegos y sorteos (casinos), las soluciones tecnológicas deberán automatizar el seguimiento puntual de la venta de fichas o boletos y la entrega de premios al alcanzar los umbrales de aviso previstos por la legislación.
En el ámbito inmobiliario y de arrendamiento de inmuebles, los sujetos obligados deberán llevar un registro acumulado de las aportaciones financieras recibidas de cada cliente durante un mes calendario.
Para las organizaciones con un alto volumen de operaciones, esto supone un reto de consolidación y consulta de datos.
Gestión de big data y conservación de datos
Las nuevas reglas también plantean un reto de gestión de datos para las organizaciones. La normativa establece periodos de conservación de al menos 10 años para información como la documentación de la metodología de evaluación de riesgos, los históricos de cambios en el grado de riesgo y el perfil transaccional, así como los registros de operaciones con activos virtuales.
Esto implica mantener disponibles grandes volúmenes de información histórica y garantizar su consulta cuando sea requerida por la autoridad. Las reglas no establecen una arquitectura específica de big data ni prescriben tecnologías concretas para cumplir con esta obligación.
Sin embargo, para organizaciones con un alto volumen de operaciones, el almacenamiento, procesamiento, trazabilidad y recuperación de estos datos representan un desafío de infraestructura y gobierno de datos.
