La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita incorporó una obligación que modificará de manera importante la forma en que se acredita el cumplimiento de quienes realizan Actividades Vulnerables: contar con una auditoría anual que evalúe y dictamine la efectividad de las obligaciones en materia de prevención de lavado de dinero.
Esta obligación se encuentra prevista en el Artículo 18, fracción XI, de la LFPIORPI y fue desarrollada mediante el Capítulo XIV de las Reglas de carácter general, incorporado por el Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026.
Parecería que se trata de una revisión adicional de expedientes y Avisos, pero su alcance es considerablemente mayor, pues la auditoría no deberá limitarse a comprobar que existen documentos o procedimientos, sino que tendrá que determinar si el sistema de cumplimiento funciona efectivamente y si existe evidencia objetiva para demostrarlo.
¿Quiénes estarán obligados? La obligación alcanza, en principio, a todos los sujetos que realicen alguna de las Actividades Vulnerables previstas en el Artículo 17 de la LFPIORPI.
Las disposiciones no establecen exclusiones en función del tamaño, ingresos, número de trabajadores, volumen de operaciones o forma jurídica del sujeto obligado. Tampoco condicionan la auditoría a que durante el ejercicio se hayan presentado Avisos.
Por tanto, realizar pocas operaciones o encontrarse por debajo de los umbrales de Aviso no elimina necesariamente la obligación. Mientras se realice una Actividad Vulnerable y se mantenga esa condición, deberá atenderse el régimen de auditoría.
Auditoría interna o externa El tipo de auditoría dependerá del resultado obtenido en la evaluación institucional bajo el Enfoque Basado en Riesgos.
Grado de Riesgo Quién puede realizar la auditoría Bajo o medio Área de auditoría o control interno, o una persona auditora externa independiente Alto Persona auditora externa independiente Esta diferenciación confirma que la evaluación de riesgos producirá consecuencias operativas y económicas. Un sujeto clasificado con riesgo bajo o medio podrá utilizar recursos internos, mientras que uno de riesgo alto deberá contratar obligatoriamente a una persona auditora externa.
Cuando la revisión sea interna, deberá ser realizada por personal independiente de la persona Representante Encargada del Cumplimiento. Además, quien practique la auditoría deberá conocer los procesos del sujeto obligado y contar, cuando menos, con una acreditación del programa anual de capacitación.
No sería admisible, por tanto, que la misma persona encargada de diseñar, operar y supervisar el cumplimiento emitiera también el dictamen sobre la efectividad de su propio trabajo.
Requisitos del auditor externo La persona auditora externa deberá contar con título y cédula profesional en derecho, contaduría, finanzas, administración, informática o áreas afines, así como acreditar por lo menos tres años de experiencia en materia de prevención de lavado de dinero.
También deberá contar con la certificación vigente otorgada por la UIF conforme al Artículo 34 Bis de las Reglas, no haber sido sentenciada por delitos patrimoniales y mantenerse libre de relaciones o servicios que puedan producir un conflicto de interés respecto del auditado.
Las reglas también establecen restricciones para quien haya actuado como Representante Encargado del Cumplimiento del sujeto auditado durante el periodo revisado y dentro de los supuestos temporales de independencia previstos por la propia regulación.
Estos requisitos muestran que no cualquier contador, abogado o auditor financiero podrá emitir válidamente el dictamen. Se requerirá una especialización concreta en prevención de lavado de dinero y una independencia que deberá poder acreditarse.
¿Qué deberá revisar la auditoría? La auditoría deberá evaluar la efectividad del cumplimiento de la LFPIORPI, su Reglamento y las Reglas de carácter general durante un año calendario.
La revisión deberá abarcar, entre otros aspectos:
La identificación y conocimiento de clientes La integración de expedientes La determinación del Beneficiario Controlador La metodología del Enfoque Basado en Riesgos La clasificación individual de clientes El Perfil transaccional Las medidas de debida diligencia El tratamiento de Personas Políticamente Expuestas También deberán revisarse la presentación de Avisos e Informes, la acumulación de operaciones, el cumplimiento de las restricciones al uso de efectivo y metales preciosos, el funcionamiento de los mecanismos automatizados, la aplicación del Manual de Políticas Internas, la capacitación del personal y la conservación de información.
El alcance no se limita a conocer si los documentos existen. Deberá verificarse si los procedimientos fueron aplicados, si las alertas fueron atendidas, si las operaciones fueron correctamente acumuladas y si los incumplimientos detectados fueron corregidos.
En la práctica, ésta será una auditoría de diseño y funcionamiento. Podrá existir un Manual formalmente completo y, sin embargo, obtenerse una calificación desfavorable si no corresponde con la operación real o no existe evidencia de su aplicación.
Metodología del dictamen El dictamen deberá elaborarse mediante una metodología que permita conocer al auditado y los riesgos particulares de su operación.
Como punto de partida se requerirá un cuestionario de conocimiento y un análisis de riesgo elaborado por la propia persona auditora. Con base en esa información deberá definirse el programa de trabajo, las obligaciones sujetas a revisión y, en su caso, el tamaño de las muestras.
Cuando se utilice muestreo, el dictamen deberá identificar el volumen total de información, el número de actos u operaciones revisados y el porcentaje que la muestra representa respecto del universo.
Esto impide que la auditoría se reduzca a la aplicación de un cuestionario genérico. El alcance deberá responder a la naturaleza de la Actividad Vulnerable, el volumen y complejidad de las operaciones, las sucursales involucradas y los riesgos identificados.
Contenido mínimo El dictamen deberá contener los datos de la persona auditora y su declaración de que cumple los requisitos y conocimientos necesarios para realizar el trabajo. También deberá incluir las conclusiones obtenidas sobre el conocimiento del auditado y los riesgos identificados.
Asimismo, deberá describir el objeto y alcance de la revisión, el periodo auditado, las obligaciones evaluadas, las operaciones y sucursales comprendidas, el volumen de información analizado y la metodología de muestreo utilizada.
Una sección especial deberá explicar el proceso de auditoría, los procedimientos aplicados y los asuntos relevantes detectados. Posteriormente deberán presentarse los hallazgos, deficiencias, omisiones y áreas de oportunidad, así como el resultado individual de cada obligación.
Finalmente, deberán establecerse las acciones correctivas, recomendaciones de mejora, plazos y personas responsables de su implementación.
Resultados de la evaluación Cada obligación deberá calificarse conforme a una escala de cinco resultados:
Resultado Alcance Cumple La efectividad del cumplimiento se encuentra demostrada Cumple mayoritariamente La efectividad no puede demostrarse completamente y se requieren mejoras Cumple parcialmente No existe evidencia objetiva suficiente y deben señalarse hallazgos No cumple No se satisfacen los elementos normativos o existe una posible infracción No aplica La obligación no corresponde al auditado y la exclusión se encuentra justificada Uno de los aspectos más relevantes se encuentra en la evidencia objetiva. Una organización puede afirmar que realiza determinados procedimientos; sin embargo, si éstos no dejan constancia verificable, el auditor podría concluir que su efectividad no ha sido demostrada.
Así, la diferencia entre cumplir y cumplir parcialmente no siempre estará en lo que el sujeto obligado afirme haber hecho, sino en su capacidad para acreditarlo.
Hallazgos y posibles multas El dictamen no deberá limitarse a describir las irregularidades detectadas. Cada hallazgo tendrá que relacionarse con las acciones correctivas correspondientes, las personas responsables y el plazo para su atención.
Además, deberá incluirse una proyección económica de las multas que podrían generarse si los incumplimientos no son corregidos.
Esta estimación no constituye una multa impuesta por la autoridad, pero sí convierte al dictamen en un documento de especial relevancia para la administración. El órgano de gobierno podrá conocer no solamente las deficiencias del sistema de cumplimiento, sino también la posible exposición económica que representan.
A partir del segundo dictamen también deberá informarse el seguimiento otorgado a los hallazgos y acciones correctivas del ejercicio anterior. De esta manera, las observaciones no atendidas quedarán documentadas de un año a otro.
Primer ejercicio obligatorio El Transitorio Octavo del Acuerdo 115/2026 establece que el primer periodo obligatorio de auditoría comprenderá del 1 de enero al 31 de diciembre de 2028.
La revisión y emisión del dictamen deberán realizarse durante los primeros tres meses de 2029, y la persona auditora deberá entregarlo al auditado a más tardar el último día hábil de marzo de 2029.
Por tanto, 2027 no será el primer ejercicio formalmente auditado; sin embargo, deberá utilizarse como periodo de preparación, pues el 1 de enero de 2028 comenzará a generarse la evidencia que sustentará el primer dictamen.
Sujetos que inicien operaciones Existe una regla particular para quienes comiencen a realizar una Actividad Vulnerable.
En su primer año, el periodo de revisión comprenderá desde la fecha de inicio de operaciones hasta el 31 de diciembre del año siguiente. En estos casos, el primer periodo auditado podría ser mayor a doce meses.
Por ejemplo, si un sujeto inicia la Actividad Vulnerable en julio de 2028, su primer periodo de revisión abarcaría desde esa fecha hasta el 31 de diciembre de 2029 y el dictamen correspondiente se emitiría durante los primeros tres meses de 2030.
El dictamen no se presenta automáticamente al SAT Existe una precisión importante respecto del destino del dictamen. Las reglas no establecen su presentación automática y anual ante el SAT.
La persona auditora deberá entregarlo al auditado y sus resultados deberán hacerse del conocimiento del consejo de administración, administrador único, dirección general u órgano equivalente. Tratándose de una persona física, los resultados deberán entregarse directamente a ésta.
El dictamen deberá conservarse durante un plazo mínimo de cinco años y proporcionarse al SAT cuando sea requerido. Asimismo, deberá resguardarse la documentación que demuestre la corrección de las observaciones identificadas.
La obligación, por tanto, no consiste en enviar anualmente el dictamen, sino en obtenerlo, conservarlo, atender sus resultados y mantenerlo disponible para la autoridad.
¿Existen excepciones? Las disposiciones no establecen una excepción general por tamaño, sector, volumen de operaciones o naturaleza jurídica.
Tampoco existe una dispensa para asociaciones civiles o donatarias autorizadas que realicen la Actividad Vulnerable relacionada con la recepción de donativos. Su carácter no lucrativo no elimina la obligación de auditar el cumplimiento.
Los tratamientos diferenciados se concentran en la posibilidad de utilizar auditoría interna cuando el riesgo institucional sea bajo o medio y en la regla especial aplicable al primer periodo de operaciones.
La calificación “no aplica” tampoco constituye una exclusión del dictamen completo. Solamente permite reconocer que una obligación específica no corresponde al auditado, siempre que esa conclusión se encuentre justificada y sea congruente con sus operaciones y riesgos.
Consideración final La auditoría anual introduce un cambio importante en el modelo de supervisión. Hasta ahora, el cumplimiento podía concentrarse en presentar Avisos, integrar expedientes y conservar documentos. A partir de esta reforma será necesario someter todo el sistema a una evaluación periódica de efectividad.
Parecería que el primer dictamen se encuentra todavía lejano, pues deberá emitirse hasta marzo de 2029. Sin embargo, lo que se dictaminará será la operación realizada durante 2028, por lo que los procedimientos, sistemas y evidencias deberán encontrarse listos antes de que comience ese ejercicio.
La auditoría no corregirá por sí misma un sistema deficiente. Solamente hará visibles sus debilidades y las convertirá en hallazgos, acciones correctivas y contingencias económicas.
El verdadero reto no será obtener un documento firmado, sino construir desde ahora un cumplimiento que pueda resistir la revisión y cuya efectividad sea demostrable.