Introducción analítica

La implementación de medidas de Conoce a tu Cliente (KYC, por sus siglas en inglés) es fundamental en México para los sujetos obligados bajo la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). Con más de 8,500 sujetos obligados registrados ante el Servicio de Administración Tributaria (SAT) según el último padrón público, el cumplimiento de estas regulaciones es crítico para mitigar el riesgo de lavado de dinero y financiamiento al terrorismo. La reforma más reciente a la LFPIORPI, publicada el 16 de julio de 2025, ha ampliado las obligaciones para los sujetos obligados, incluyendo la necesidad de una Evaluación Basada en Riesgos (EBR) documentada y la implementación de mecanismos automatizados de monitoreo, conforme al Artículo 18.

El marco regulatorio actual exige a las instituciones financieras y a otros sujetos obligados a establecer políticas de KYC robustas para identificar y verificar la identidad de sus clientes, así como para entender la naturaleza de sus actividades financieras. Esto es crucial para detectar cualquier actividad sospechosa que pueda estar vinculada al lavado de dinero. Según datos del Grupo de Acción Financiera Internacional (GAFI), el incumplimiento en estos aspectos contribuye significativamente al riesgo de que México sea un destino atractivo para operaciones ilícitas, como lo indica el hecho de que el país ocupa el segundo lugar global en recepción de dinero de ciberdelitos según el FBI Internet Crime Report 2025.

El Artículo 18 de la LFPIORPI, modificado por la reforma de 2025, establece un conjunto de obligaciones que los sujetos obligados deben cumplir para prevenir el lavado de dinero. Estas obligaciones incluyen la identificación y verificación de la identidad de los clientes, la conservación de documentos por un periodo de 10 años, y la notificación de operaciones preocupantes dentro de las 24 horas siguientes a su detección.

Específicamente, la fracción VII del Artículo 18 establece la obligación de llevar a cabo una Evaluación Basada en Riesgos (EBR) documentada. Esta evaluación debe considerar los diferentes factores de riesgo asociados con los clientes, productos, servicios y ubicaciones geográficas. La fracción VIII requiere que los sujetos obligados tengan un Manual de Políticas Internas en materia de prevención de lavado de dinero y financiamiento al terrorismo, que debe ser actualizado periódicamente.

Asimismo, la fracción IX del mismo artículo establece la obligación de proporcionar capacitación anual a todo el personal involucrado en actividades vulnerables, asegurando que estén debidamente informados sobre las políticas y procedimientos internos. La fracción X exige la implementación de mecanismos automatizados de monitoreo que permitan identificar potenciales operaciones preocupantes, mientras que la fracción XI introduce la necesidad de realizar auditorías internas o externas para evaluar la efectividad de los controles implementados.

La determinación de umbrales para actividades vulnerables, ahora expresados en veces el valor diario de la Unidad de Medida y Actualización (UMA), es otro aspecto clave. Para 2026, el valor diario de la UMA es de 113.14 pesos mexicanos, lo que implica que umbrales establecidos, como el de 1,605 UMA para transacciones en efectivo de actividades vulnerables, equivalen aproximadamente a 181,706 pesos mexicanos.

Análisis práctico

En la práctica, la implementación de un programa de KYC efectivo requiere un enfoque detallado y sistemático. Consideremos el ejemplo de una inmobiliaria que realiza ventas por un valor de 2.8 millones de pesos mensuales. Esta empresa debe aplicar procedimientos de identificación y verificación de clientes cada vez que se realiza una venta que exceda los umbrales establecidos por la LFPIORPI.

Para implementar KYC, la inmobiliaria debe seguir los siguientes pasos:

  1. Identificación del cliente: Recabar y verificar la información de identificación del cliente, incluyendo documentos oficiales que acrediten su identidad y domicilio.
  2. Evaluación de riesgos: Realizar una evaluación basada en riesgos para determinar el nivel de diligencia que debe aplicarse a cada cliente. Esto puede incluir verificaciones adicionales para clientes considerados de alto riesgo, como Personas Políticamente Expuestas (PEP).
  3. Monitoreo continuo: Establecer procesos para el monitoreo continuo de las operaciones del cliente, utilizando herramientas automatizadas que alerten sobre patrones inusuales o transacciones que exceden los umbrales establecidos.
  4. Conservación de registros: Mantener registros detallados de todas las transacciones e interacciones con el cliente por un periodo de 10 años, de acuerdo con lo estipulado en el Artículo 18, fracción IV.
  5. Reportes de operaciones preocupantes: Presentar avisos de operaciones preocupantes a la Unidad de Inteligencia Financiera (UIF) dentro de las 24 horas siguientes a su identificación, según lo especificado en el Artículo 18, fracción VI, párrafo segundo.

Implementar estos pasos no solo asegura el cumplimiento regulatorio, sino que también protege a las empresas de ser utilizadas como vehículos para operaciones ilícitas.

Riesgos y consecuencias

El incumplimiento de las obligaciones de KYC bajo la LFPIORPI puede resultar en sanciones severas. Según el Artículo 54 de la ley, las multas pueden variar desde 200 hasta 65,000 veces la UMA, lo que equivale aproximadamente a entre 22,628 y 7,354,100 pesos mexicanos para 2026. Además, el uso de recursos de procedencia ilícita puede llevar a penas de prisión de cuatro a diez años, de acuerdo con el Artículo 63.

Un ejemplo reciente de sanción se dio en 2025, cuando una institución financiera fue multada con 50,000 UMA (aproximadamente 5,657,000 pesos) por fallar en la implementación de controles adecuados de KYC, lo que permitió que se llevaran a cabo varias transacciones sospechosas sin la debida diligencia del cliente.

Las implicaciones operativas de estos incumplimientos son significativas, ya que no solo afectan financieramente a las empresas, sino que también pueden dañar su reputación, afectando negativamente la confianza de los clientes y socios comerciales.

Mejores prácticas

Para asegurar el cumplimiento con las regulaciones de KYC, los sujetos obligados avanzados están adoptando una serie de mejores prácticas, que incluyen:

Implementación de tecnología avanzada

  • Uso de software especializado para la verificación de identidad y monitoreo de transacciones en tiempo real.
  • Integración de Inteligencia Artificial (IA) para identificar patrones de comportamiento inusuales.

Capacitación continua

  • Programas de capacitación regulares y actualizados para todo el personal, enfocados en nuevas amenazas y técnicas de lavado de dinero.

Evaluación de riesgos mejorada

  • Desarrollo de matrices de riesgo dinámicas que se actualizan con datos en tiempo real para reflejar cambios en el entorno de riesgo global.

Auditorías internas y externas

  • Realización de auditorías regulares para evaluar la efectividad de las políticas de KYC y realizar ajustes necesarios.

Estas prácticas no solo ayudan a cumplir con los requisitos legales, sino que también fortalecen el sistema de control interno, reduciendo el riesgo de ser involucrado en actividades ilícitas.

Comparación de Obligaciones KYC antes y después de la reforma 2025

Obligación Antes de 2025 Después de 2025
EBR Documentada No requerida Obligatoria (Art. 18, fracción VII)
Manual de Políticas Internas Requerido, pero no específico Detallado y actualizado (Art. 18, fracción VIII)
Capacitación No especificada Anual y obligatoria (Art. 18, fracción IX)
Mecanismos Automatizados Recomendados Obligatorios (Art. 18, fracción X)
Auditoría PLD No específica Interna o externa obligatoria (Art. 18, fracción XI)

Conclusión estratégica

La implementación efectiva de prácticas de KYC no solo es una obligación legal bajo la LFPIORPI, sino también una estrategia esencial para proteger a las empresas de riesgos relacionados con el lavado de dinero. Al adoptar tecnología avanzada, capacitar regularmente a su personal y realizar evaluaciones de riesgo integrales, las empresas pueden asegurar no solo el cumplimiento, sino también fortalecer su posición competitiva en el mercado.

Es esencial que los sujetos obligados revisen y actualicen continuamente sus políticas y procedimientos de KYC a la luz de las reformas recientes y los cambios en el entorno de riesgo global. Solo mediante un enfoque proactivo y adaptativo podrán mitigar eficazmente el riesgo de ser utilizados para operaciones ilícitas.

FAQ

¿Qué debe incluir una Evaluación Basada en Riesgos (EBR) documentada?

Una EBR documentada debe incluir la identificación de riesgos potenciales asociados con clientes, productos, servicios y ubicaciones geográficas. Debe establecer procedimientos para mitigar estos riesgos y actualizarse regularmente para reflejar cambios en el entorno de riesgo. Es crucial que esta evaluación esté documentada y sea revisada por el comité de cumplimiento.

¿Cómo afecta la definición ampliada de Beneficiario Controlador a las obligaciones de KYC?

La definición ampliada de Beneficiario Controlador incluye ahora tanto al beneficiario final como al propietario real que tenga control efectivo directo o indirecto del 25% del capital o votos. Esto requiere que las empresas implementen medidas más estrictas de diligencia para identificar a estas personas y asegurar el cumplimiento con las regulaciones.

¿Cuál es el impacto de no reportar una operación preocupante dentro de las 24 horas?

El no reportar una operación preocupante dentro de las 24 horas, como exige el Artículo 18, fracción VI, puede resultar en sanciones significativas. Además de las multas, las empresas pueden enfrentar daños a su reputación y posibles repercusiones legales más graves si se determina que han facilitado el lavado de dinero.

¿Qué rol juegan las auditorías en la efectividad de un programa de KYC?

Las auditorías, ya sean internas o externas, son cruciales para evaluar la efectividad de un programa de KYC. Permiten identificar deficiencias en los controles implementados y asegurar que las políticas estén alineadas con las mejores prácticas y regulaciones actuales. También proporcionan una base para mejorar continuamente el programa de cumplimiento.

¿Cómo pueden las empresas asegurarse de que sus programas de capacitación sean efectivos?

Para garantizar la efectividad de los programas de capacitación, las empresas deben personalizarlos según el rol y nivel de riesgo asociado de cada empleado. Es importante también realizar evaluaciones periódicas para medir el impacto de la capacitación y ajustar los contenidos en respuesta a nuevas amenazas o cambios regulatorios.