La reforma a las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), publicada el 7 de agosto de 2026, modifica de manera sustancial la función y contenido del documento que deben mantener quienes realizan Actividades Vulnerables.
Hasta antes de esta reforma, el Artículo 37 exigía contar, dentro de los 90 días naturales siguientes al alta y registro, con un documento en el que se desarrollaran principalmente los lineamientos de identificación de Clientes o Usuarios y determinados criterios y procedimientos internos.
Con las nuevas disposiciones, ese documento adquiere formalmente la denominación de Manual de Políticas Internas y deja de concentrarse solamente en la identificación documental del cliente. Ahora debe reflejar prácticamente toda la arquitectura de prevención de lavado de dinero del sujeto obligado: identificación y conocimiento, evaluación de riesgos, perfil transaccional, Beneficiario Controlador, Personas Políticamente Expuestas, Avisos, capacitación, auditoría, controles internos y mecanismos de seguimiento.
¿Cuándo debe contarse con el Manual? El nuevo Artículo 37 mantiene como regla general que quienes realicen Actividades Vulnerables deberán contar con el Manual dentro de los 90 días naturales siguientes a su alta y registro.
Para quienes ya se encontraban registrados y habían agotado ese plazo al momento de la reforma, el régimen transitorio establece que deberán contar con el Manual actualizado, incluyendo la nueva metodología de Enfoque Basado en Riesgos, a partir del 1 de marzo de 2027.
Por ello, el Manual que actualmente tengan los sujetos obligados no necesariamente será suficiente. Será necesario revisar si incorpora todos los elementos exigidos por la nueva regulación.
La metodología de riesgos debe formar parte del Manual Uno de los cambios más importantes se encuentra en la relación entre el Manual y el nuevo Enfoque Basado en Riesgos (EBR).
El Artículo 10 Septies establece que quienes realizan Actividades Vulnerables deberán diseñar e implementar una metodología para identificar, analizar, entender, medir y mitigar los riesgos derivados de sus operaciones, clientes, transacciones y canales. El diseño de esa metodología deberá encontrarse establecido en el Manual de Políticas Internas o en otro documento expresamente relacionado con éste.
El Artículo 37 refuerza esa obligación. El Manual deberá explicar cómo se gestionarán los riesgos conforme a los resultados obtenidos de la metodología y deberá contener —o hacer referencia al documento que contenga— su diseño.
Por tanto, no sería suficiente incorporar una declaración genérica señalando que la empresa “aplica un enfoque basado en riesgos”. El documento deberá permitir conocer, entre otros aspectos, qué factores se analizan, cómo se miden, qué controles se consideran Mitigantes y cómo los resultados modifican las decisiones de cumplimiento.
Además, el Manual deberá establecer el procedimiento y los criterios para determinar la apertura, limitación o terminación de las relaciones comerciales con los Clientes o Usuarias, y dichas decisiones deberán ser congruentes con la metodología de riesgo.
Contenido mínimo obligatorio del Manual El nuevo Artículo 37 Bis enumera expresamente los elementos que deberá contener el Manual de Políticas Internas.
Identificación y conocimiento del Cliente o Usuaria El Manual deberá establecer los criterios que se utilizarán para identificar y conocer a los Clientes o Usuarias.
Esto comprende no solamente qué documentos deberán recabarse, sino también los procedimientos para verificarlos, actualizarlos y relacionarlos con la naturaleza de las operaciones realizadas.
El nuevo Artículo 11 exige precisamente que los criterios, medidas y procedimientos de identificación, conocimiento, verificación y actualización formen parte del Manual.
La reforma, por tanto, desplaza el concepto tradicional de KYC meramente documental hacia uno de conocimiento material del cliente.
Clasificación del Grado de Riesgo El Manual deberá contener los mecanismos de clasificación de Riesgo. El nuevo modelo deberá permitir clasificar a cada Cliente o Usuaria, cuando menos, en: riesgo bajo, riesgo medio o riesgo alto, aunque pueden establecerse niveles intermedios adicionales.
El Manual deberá explicar los criterios utilizados para llegar a esa clasificación y su relación con la metodología institucional de riesgos. Además, el Grado de Riesgo deberá reevaluarse como regla general al menos cada seis meses, con mayor frecuencia mientras mayor sea el riesgo.
Por ello, conviene que el Manual no sólo indique cómo se asigna el riesgo inicial, sino también quién lo revisa, con qué periodicidad, qué información utiliza y qué sucede cuando cambia la clasificación.
Debida diligencia diferenciada El Manual deberá especificar las medidas de debida diligencia aplicables conforme al Grado de Riesgo de cada cliente.
El sistema que surge de las nuevas reglas puede entenderse, en términos generales, de la siguiente manera:
Bajo riesgo = medidas simplificadas Riesgo medio = expediente completo Riesgo alto = medidas reforzadas Para clientes de riesgo alto, por ejemplo, las reglas exigen información adicional sobre su actividad, mayor monitoreo y cuestionarios sobre origen y destino de recursos, debiendo explicar qué medida concreta se activa en cada nivel.
Personas Políticamente Expuestas Otra sección obligatoria será la correspondiente a las Personas Políticamente Expuestas (PEP).
El Manual deberá establecer procedimientos para su identificación y seguimiento reforzado. Esto deberá vincularse con la clasificación del Grado de Riesgo.
Las PEP extranjeras deberán considerarse, como mínimo, de riesgo alto, mientras que para PEP mexicanas deberán existir factores adicionales que permitan determinar si su comportamiento transaccional resulta razonablemente congruente con sus ingresos, funciones y nivel de responsabilidad.
Cuando una PEP sea además clasificada como de alto riesgo, la operación requerirá aprobación de un directivo o equivalente; tratándose de una persona física que realice la Actividad Vulnerable, deberá documentarse la razón por la que decidió realizar la operación.
Perfil transaccional y sistema de alertas El Manual deberá incorporar mecanismos para detectar operaciones que se aparten del Perfil transaccional del Cliente o Usuaria.
El nuevo Artículo 23 Ter establece que la política de conocimiento deberá incluir procedimientos para monitorear operaciones, conocer el perfil de cada cliente, detectar desviaciones y modificar, cuando proceda, su Grado de Riesgo. Esa política deberá estar integrada en el Manual.
El perfil debe construirse considerando, entre otros elementos:
Montos; Número y frecuencia de operaciones Origen y destino de los recursos Información proporcionada por el propio cliente También deberá existir un sistema de alertas para detectar oportunamente cambios relevantes en el comportamiento del cliente.
Por ello, el Manual debería explicar no solamente qué circunstancias generan una alerta, sino el procedimiento posterior de generación de alerta, responsable del análisis, documentación, cierre o escalamiento y el posible Aviso.
Beneficiario Controlador Aunque el Artículo 37 Bis no lo menciona como una fracción independiente, la identificación del Beneficiario Controlador deberá formar parte necesariamente del Manual.
El nuevo Artículo 23 Quinquies establece expresamente que deberán incluirse en él los criterios, medidas y procedimientos internos utilizados para identificarlo. El procedimiento deberá considerar, para personas morales, el siguiente orden:
primero, identificar a la persona física que posea directa o indirectamente 25% o más del capital; después, a quien ejerza control por otros medios; finalmente, cuando los criterios anteriores no permitan identificarlo, a la persona física que ocupe la posición administrativa de mayor jerarquía. El Manual debería describir cómo se documentará esa búsqueda y qué evidencia deberá conservarse.
En fideicomisos, además, deberá seguirse la cadena de titularidad y control hasta llegar a la persona física que en última instancia ejerza el control efectivo.
Presentación de Avisos e Informes El Manual deberá contener los procedimientos para presentar Avisos e Informes en los tiempos y formas previstos en la Ley. Esta sección debería definir claramente:
Identificación de operaciones reportables Determinación de umbrales Acumulación Fecha de realización de la operación Generación de información Revisión Autorización interna Presentación Conservación del acuse Corrección de errores De especial importancia serán los nuevos Avisos por sospecha y por hechos o indicios previstos en los artículos 26 Bis y 26 Bis 1, que, una vez que resulten exigibles conforme al régimen transitorio, deberán enviarse dentro de las 24 horas siguientes a la identificación de las circunstancias correspondientes.
Seguimiento y acumulación de operaciones El Manual deberá contener mecanismos para acumular los actos u operaciones que individualmente no alcancen el umbral, pero que acumulados durante el periodo correspondiente sí generen obligación de presentar Aviso.
Esta obligación deberá vincularse con los mecanismos automatizados, pues el nuevo Artículo 19 establece que éstos deberán utilizarse para llevar a cabo el seguimiento y acumulación.
Por ello, el procedimiento descrito en el Manual deberá corresponder exactamente con las reglas configuradas en el sistema.
Conservación de información y documentación El Manual deberá establecer los mecanismos utilizados para conservar la información y documentación del sistema.
La reforma contiene distintos plazos dependiendo del tipo de evidencia. Por ejemplo, la información de la metodología de riesgos y diversos históricos tecnológicos deben conservarse por diez años, mientras que el dictamen de auditoría y sus papeles de trabajo tienen un plazo mínimo particular de cinco años.
Por ello, sería conveniente que el Manual incorpore una matriz de conservación documental por tipo de información, en lugar de establecer un único plazo genérico para todo.
Listas y mecanismos de prevención El Manual deberá establecer los mecanismos para identificar a las personas incluidas en listas emitidas por autoridades nacionales u organismos internacionales para prevenir la utilización de recursos en actividades ilícitas o en el financiamiento de organizaciones delictivas.
Este procedimiento debe relacionarse con los sistemas de alertas y con los Avisos correspondientes cuando se detecte una coincidencia.
Funciones del Representante Encargado de Cumplimiento El Manual deberá especificar las funciones y responsabilidades del Representante Encargado de Cumplimiento (REC).
Conviene que se delimiten expresamente sus atribuciones respecto de:
Mantenimiento del Manual Presentación de Avisos Análisis de alertas Atención de requerimientos Capacitación Relación con auditoría Conservación de información Actualización de procedimientos La existencia de un REC no desplaza, sin embargo, la responsabilidad del propio sujeto obligado.
Capacitación La reforma exige capacitación por lo menos anual para integrantes de órganos de gobierno, directivos, funcionarios, REC y personal involucrado en atención al público, identificación de clientes, presentación de Avisos o auditoría.
También deberá establecerse qué ocurrirá cuando las personas evaluadas no obtengan resultados satisfactorios.
Selección de personal Los procedimientos de selección de personal también deberán encontrarse en el Manual o en otro documento expresamente relacionado con éste.
La regulación exige valorar calidad técnica, experiencia y honorabilidad, además de recabar determinadas declaraciones relativas a antecedentes profesionales, delitos patrimoniales e inhabilitaciones.
Control interno, supervisión y auditoría El Manual deberá contemplar expresamente los mecanismos de control interno, supervisión y auditoría.
Esto adquiere especial importancia porque la reforma incorpora una auditoría anual dirigida a evaluar no solamente la existencia de las políticas, sino la efectividad del cumplimiento.
Por ello, el Manual debería permitir identificar:
Obligación Control Responsable Evidencia Supervisión Auditoría Acción correctiva Confidencialidad Otra sección obligatoria corresponde a las medidas para garantizar la confidencialidad de la información. Debe considerarse especialmente la prohibición de informar a Clientes, Usuarias o terceros acerca de:
Referencias contenidas en Avisos Requerimientos de información Determinadas órdenes de aseguramiento La reforma incluye además dentro de la información protegida la relacionada con la estructura de control del Beneficiario Controlador.
Actualización del propio Manual El último elemento expresamente requerido por el Artículo 37 Bis es el procedimiento para actualizar el propio Manual.
Si cambia la metodología de riesgo, la Evaluación Nacional de Riesgos, el modelo de clientes, productos o canales, procedimientos internos, regulación o sistemas informáticos, el Manual deberá ajustarse.
Además, el SAT podrá, durante sus facultades de supervisión, ordenar modificaciones cuando considere que son necesarias para el correcto cumplimiento de las reglas.
Grupos empresariales C uando quienes realizan Actividades Vulnerables formen parte de un Grupo Empresarial, podrán establecer políticas y mecanismos centralizados aplicables a sucursales y filiales, incluso extranjeras; sin embargo, deberán garantizar que cada integrante continúe cumpliendo individualmente las obligaciones que le correspondan.
Esto permite un Manual corporativo o políticas centralizadas, pero no elimina la necesidad de identificar las particularidades de cada entidad y Actividad Vulnerable.
Operaciones que deliberadamente no se realizan Cuando el sujeto obligado determine que no realizará determinados actos u operaciones, podrá quedar exento de establecer procedimientos respecto de ellos, siempre que esa circunstancia se encuentre expresamente documentada en el Manual.
Esta novedosa disposición se encuentra en el Artículo 37 Bis 2; sin embargo, si posteriormente decide realizarlos, deberá incorporar antes de efectuar la primera operación las políticas y procedimientos correspondientes.
Una estructura recomendable del nuevo Manual Considerando conjuntamente los artículos 10 Septies, 23 Bis, 23 Ter, 23 Quáter, 23 Quinquies, 37, 37 Bis, 39 Bis y 41, una estructura práctica del Manual podría organizarse en los siguientes capítulos:
Capítulo Contenido
- Objeto y alcance Actividades Vulnerables, productos, servicios y operaciones comprendidas
- Gobierno y responsabilidades Órganos de administración, REC, áreas responsables
- Enfoque Basado en Riesgos Metodología, factores, indicadores, medición, Mitigantes y tolerancia
- Identificación del cliente Expedientes, documentos, cotejo, actualización
- Beneficiario Controlador Propiedad, control, cadena de titularidad y documentación
- Clasificación de riesgo Bajo, medio, alto, scoring y reevaluaciones
- Conocimiento y Perfil transaccional Perfil inicial, actualización y monitoreo
- PEP y clientes de alto riesgo Identificación, diligencia reforzada y autorizaciones
- Alertas Generación, análisis, escalamiento y cierre
- Avisos e Informes Umbrales, acumulación, plazos y controles
- Listas y mecanismos preventivos Screening y tratamiento de coincidencias
- Mecanismos automatizados Funcionalidades, datos, históricos y controles
- Conservación y confidencialidad Plazos, accesos y custodia
- Capacitación Programa anual, evaluación y evidencias
- Selección de personal Experiencia, calidad técnica y honorabilidad
- Auditoría y control interno Supervisión, auditoría, hallazgos y remediación
- Actualización del Manual Periodicidad, responsables y control de versiones Esta estructura no aparece literalmente en las reglas, pero permite integrar de manera ordenada todos los contenidos que éstas exigen.
Consideración final La reforma modifica sustancialmente la naturaleza del Manual de Políticas Internas. Ya no debería concebirse como un documento estándar que simplemente reproduce las disposiciones de la LFPIORPI.
El nuevo Manual deberá describir cómo funciona realmente el sistema de prevención dentro de cada sujeto obligado: qué riesgos enfrenta, cómo los mide, cómo clasifica a sus clientes, qué información obtiene, qué operaciones espera de ellos, cuándo genera una alerta, quién decide su tratamiento, cómo identifica al Beneficiario Controlador, cuándo presenta un Aviso y qué evidencia conserva para demostrar todo lo anterior.
De ahí que un Manual genérico o desvinculado de los procesos reales pueda convertirse incluso en un riesgo adicional: si la empresa documenta procedimientos que en la práctica no ejecuta, la propia discrepancia entre el Manual y la operación podrá revelar una deficiencia de cumplimiento.
La nueva lógica parece ser justamente la contraria. El Manual debe reflejar el sistema que efectivamente opera y el sistema debe producir evidencia de que se cumple lo que el Manual establece. Esa correspondencia entre norma, política, operación y evidencia será una de las piezas centrales para enfrentar las futuras revisiones y auditorías previstas por las nuevas Reglas.