La Secretaría de Hacienda y Crédito Público (SHCP) ha implementado modificaciones significativas en las reglas diseñadas para prevenir y detectar operaciones relacionadas con recursos de procedencia ilícita. Estas actualizaciones, publicadas recientemente en la edición vespertina del Diario Oficial de la Federación (DOF), tienen como objetivo primordial reforzar los mecanismos de control y vigilancia sobre las denominadas actividades vulnerables, buscando cerrar brechas que puedan ser utilizadas para el lavado de dinero.
Una de las innovaciones más relevantes en este marco normativo es la obligatoriedad de implementar procesos formales para la evaluación de riesgos. Bajo este esquema, las empresas y personas físicas que realicen actividades vulnerables deberán identificar posibles amenazas y establecer medidas concretas para reducir la probabilidad de que sus operaciones sean instrumentalizadas con fines ilegales. Este enfoque preventivo implica que los sujetos obligados ya no podrán aplicar controles genéricos, sino que deberán adaptar sus medidas de vigilancia según el perfil de riesgo de cada operación.
En este sentido, las nuevas disposiciones exigen que los clientes sean clasificados estrictamente en categorías de riesgo: bajo, medio y alto. Esta segmentación es fundamental, ya que permitirá a las entidades aplicar niveles de seguimiento diferenciados. Mientras que las operaciones de riesgo bajo tendrán un monitoreo estándar, aquellas clasificadas como de alto riesgo requerirán revisiones mucho más exhaustas. Para estos últimos casos, los obligados deberán obtener información detallada y analizar minuciosamente tanto el origen como el destino de los recursos, especialmente si las transacciones involucran a jurisdicciones consideradas de alto riesgo o a personas políticamente expuestas.
Para sustentar este control, la SHCP ha establecido la obligación de integrar expedientes únicos de identificación para clientes y usuarios. Estos expedientes no solo deben ser integrales y verificables, sino que deberán mantenerse actualizados y conservarse de manera segura durante un periodo mínimo de 10 años. Esta medida garantiza que las autoridades cuenten con un rastro documental sólido para identificar a las personas con las que se realizan las operaciones y detectar movimientos sospechosos con retroactividad.
Otro pilar fundamental de estas modificaciones es el fortalecimiento de la identificación del beneficiario controlador. Se define a esta figura como la persona física que obtiene el beneficio final de una operación o que ejerce el control efectivo sobre una empresa, estructura corporativa u organización. El objetivo es evitar que se utilicen estructuras corporativas complejas o fachadas legales para ocultar la identidad de quien realmente se beneficia de los recursos o quien dirige la operación, eliminando así el anonimato en transacciones financieras sospechosas.
En cuanto a la modernización de la vigilancia, la normativa ahora contempla la utilización formal de mecanismos automatizados. Estos sistemas deberán estar diseñados para apoyar la detección de operaciones inusuales, permitir el seguimiento de transacciones en tiempo real y generar alertas tempranas. La SHCP especifica que estas herramientas tecnológicas deben adaptarse al volumen y complejidad de cada sujeto obligado y, además, deberán estar conectadas con el portal de internet de la autoridad para agilizar la presentación de avisos e informes, reduciendo la dependencia de procesos manuales y acelerando la respuesta ante señales de riesgo.
Asimismo, se introduce la obligatoriedad de contar con un manual de políticas internas. Este documento deberá detallar los procedimientos para la identificación de clientes, la clasificación de riesgos, la aplicación de medidas de debida diligencia, el establecimiento de controles internos y la capacitación del personal. Más allá de ser una guía operativa, este manual servirá como evidencia documental ante la Unidad de Inteligencia Financiera (UIF) y el Servicio de Administración Tributaria (SAT) para demostrar que el sujeto obligado está cumpliendo con las disposiciones legales.
Finalmente, la autoridad ha previsto una aplicación gradual de estas reglas para facilitar la adaptación de los sectores afectados. La entrada en vigor general está programada para el 30 de noviembre de 2026. No obstante, debido a la complejidad técnica de algunos requerimientos, la implementación de la evaluación formal de riesgos y los mecanismos automatizados de detección tendrá un plazo extendido, distribuyéndose durante los años 2027 y 2028. Con este calendario, la SHCP busca que las empresas y personas físicas tengan el tiempo suficiente para actualizar sus sistemas informáticos, modificar sus procedimientos internos y capacitar a su personal en las nuevas normativas de prevención de lavado de dinero.
