El expediente KYC no es monitoreo. El Acuerdo 115/2026 sí lo mide.

La lectura más cara de un expediente de identificación no es que esté incompleto. Es tratarlo como si fuera evidencia de que el riesgo sigue bajo control.

El 7 de agosto de 2026, el Diario Oficial de la Federación publicó el Acuerdo 115/2026 de la Secretaría de Hacienda y Crédito Público: la reforma integral de las Reglas de carácter general a que se refiere la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). No es un ajuste de formatos. Es el paso operativo de la reforma legal de julio de 2025 hacia un modelo de enfoque basado en riesgos, clasificación periódica de clientes, identificación del beneficiario controlador, avisos por sospecha en 24 horas y mecanismos automatizados de monitoreo.

Quien ya tenía “la carpeta KYC” no está al día. Tiene el punto de partida de un régimen que, a partir del 30 de noviembre de 2026, mide otra cosa: si el riesgo se evalúa, se actualiza y se mitiga con evidencia viva.

El hecho

Hay que separar la ley, las reglas y el calendario. Quien los mezcla termina leyendo marzo de 2027 como si ya hubiera vencido, o noviembre de 2026 como si bastara con un PDF.

La ley. El 16 de julio de 2025 se publicó en el DOF el decreto que reformó la LFPIORPI y el artículo 400 Bis del Código Penal Federal. Mandató, entre otras cosas, que la Secretaría modificara las reglas de carácter general dentro de los doce meses siguientes. El Acuerdo 115/2026 es esa modificación.

Las reglas. Reforman y adicionan de forma amplia el texto de 2013 (ya reformado en 2014 y 2020). Entre lo nuevo: Capítulo II Quáter (Enfoque basado en riesgos), Capítulo III Bis (clasificación del grado de riesgo), Capítulo III Ter (conocimiento del cliente o usuaria), Capítulo III Quáter (PEP), Capítulo III Quinquies (beneficiario controlador), más Manual de Políticas Internas, mecanismos de prevención, capacitación, mecanismos automatizados y auditoría anual.

El calendario (transitorios, según el Acuerdo y el análisis de fuentes especializadas que lo cotejan). Entrada en vigor general: 30 de noviembre de 2026. Lo estructural —metodología EBR a disposición de la autoridad, Manual actualizado, Capítulos III Bis / III Ter / III Quinquies observables, selección de personal en nuevas contrataciones— es exigible respecto de actos u operaciones a partir del 1 de marzo de 2027. Mecanismos automatizados: a más tardar el 1 de junio de 2027. Primer ciclo de capacitación bajo el nuevo esquema: año calendario 2027. Primer periodo de auditoría anual: 2028.

No hay que inventar multas en pesos ni tablas de UMA que el Acuerdo no traduce aquí. El mensaje regulatorio es otro: el cumplimiento deja de ser un alta estática.

Por qué importa

Porque el riesgo de 2026–2027 no está solo en “no tener expediente”. Está en que el expediente, el grado de riesgo, el perfil transaccional y el beneficiario controlador no coincidan el día del requerimiento.

El artículo 10 Septies de las reglas reformadas obliga a diseñar e implementar una metodología de evaluación de riesgos sobre actos u operaciones, tipo de clientes o usuarias, países y áreas geográficas, transacciones y canales. Debe vivir en el Manual de Políticas Internas (o documento equivalente), incorporar la Evaluación Nacional de Riesgos que publique la UIF, y revisarse cuando aparezcan riesgos nuevos, cuando se actualice esa evaluación, o en un plazo no mayor a doce meses. La información que la sustente se conserva al menos diez años.

El Capítulo III Bis exige clasificar clientes en al menos tres grados —bajo, medio y alto— y reevaluar el grado al menos cada seis meses. El Capítulo III Ter exige perfil transaccional, sistema de alertas ante desviaciones, y de nuevo evaluación al menos semestral. El Capítulo III Quinquies fija un orden de prelación para el beneficiario controlador de personas morales: primero quien tenga el 25% o más del capital; luego quien ejerza control por otros medios; luego quien ocupe la alta dirección. Hay que documentar el procedimiento y mantenerlo actualizado durante la relación de negocios.

Eso no es onboarding. Es Continuous Due Diligence con gramática mexicana de PLD/FT.

Qué está cambiando

Hasta hace poco, muchas organizaciones sujetas a actividades vulnerables trataban el régimen antilavado como un paquete de identificación + avisos por umbral. Se integraba el expediente, se presentaba el aviso cuando el monto lo pedía, y el Manual se actualizaba “cuando hubiera reforma”.

El Acuerdo 115/2026 obliga otra arquitectura:

1. Metodología de riesgos con indicadores de PLD y de financiamiento al terrorismo (artículos 139 Quáter y 400 Bis del Código Penal Federal) por cada elemento de riesgo.
2. Implementación con al menos doce meses de información de clientes, operaciones y montos —o datos proyectados si aún no hay historial, actualizando al cumplir el primer año.
3. Clasificación y monitoreo continuo del cliente, no solo al alta.
4. Avisos por sospecha y por hechos o indicios dentro de las 24 horas siguientes al reconocimiento o conocimiento (artículos 26 Bis y 26 Bis 1), incluso si la operación no se celebró o no alcanzó umbral, cuando haya datos de identificación.
5. Mecanismos automatizados (artículo 41 / definición XI Ter): conservar expedientes, agrupar y monitorear operaciones, alimentar la metodología EBR, ejecutar el modelo de grado de riesgo con historial, alertar sobre alto riesgo, PEP, listas y jurisdicciones, y monitorear uso de efectivo y metales preciosos —proporcionales al volumen, pero verificables ante autoridad.
6. Auditoría anual con dictamen estructurado; si el riesgo del sujeto es alto, auditor externo independiente con certificación UIF.

Hay un matiz que no hay que inflar. Estas reglas aplican a quienes realizan Actividades Vulnerables del artículo 17 de la Ley. No convierten a toda empresa mexicana en sujeto obligado antilavado. Sí cambian el estándar de lo que el regulador entiende por “conocer” a una contraparte: riesgo vivo, no carpeta muerta.

El problema para las empresas

El problema no es que exista un Acuerdo. El problema es la latencia entre el alta del cliente (o del proveedor vinculado a una actividad vulnerable) y la siguiente evaluación de riesgo.

Tres comportamientos se volvieron comunes. Ninguno aparece como defensa en el Capítulo II Quáter.

El primero: acreditar al cliente una vez y no volver a mirar el grado de riesgo ni el perfil transaccional. Las reglas asumen revisión al menos semestral.

El segundo: confundir “tenemos Manual” con “tenemos metodología implementada con doce meses de datos y mitigantes documentados”. El SAT puede señalar ajustes cuando la metodología no administre de verdad la apertura, limitación o terminación de relaciones.

El tercero: asumir que el beneficiario controlador es “el representante legal del RFC”. El orden de prelación del 25% y el ascenso en la cadena cuando hay fideicomisos o personas morales intermedias existen precisamente porque el RFC no es la persona física que controla.

No hay, en estas fuentes, una estadística oficial de cuántos sujetos obligados ya tienen mecanismos automatizados. Inventarla sería otro titular. El dato que sí está es el método y el calendario.

El caso de los contratistas y la cadena de terceros

Una minera, un desarrollador inmobiliario, un operador de servicios financieros no bancarios o cualquier sujeto con actividades vulnerables no tiene solo un problema de “falta el expediente del cliente”. Tiene un problema de coherencia entre el riesgo declarado y la operación real.

El mismo razonamiento aplica, por analogía operativa —no por extensión automática de la Ley—, a quien gestiona cientos de contratistas y proveedores: el riesgo de terceros no se agota el día del alta. Cambia con el control efectivo, con la geografía, con el volumen, con las listas, con el comportamiento. El Acuerdo 115/2026 lo escribe para el régimen PLD; el mercado de contractor compliance ya vivía la misma falla con Repse, ICSOE y opiniones fiscales.

Para el sujeto obligado, además, el contratista o el proveedor puede ser cliente, canal o parte de la estructura de control que hay que subir hasta la persona física. El Capítulo III Quinquies no permite quedarse en la razón social intermedia.

Qué deberían hacer las empresas

Un checklist que no depende de adivinar el primer requerimiento de 2027.

1. Separar vigencia general y plazos estructurales. 30 de noviembre de 2026 abre el régimen. 1 de marzo de 2027 es la fecha en que EBR, Manual actualizado, clasificación, conocimiento del cliente y beneficiario controlador se vuelven el estándar exigible sobre actos u operaciones. 1 de junio de 2027 es el techo de mecanismos automatizados.
2. Diagnosticar brechas ahora. Metodología, Manual (artículo 37 Bis enumera contenido mínimo amplio), expedientes, modelo de grados de riesgo, perfil transaccional, alertas, UBO, PEP, avisos de 24 horas, evidencia de capacitación y plan de auditoría.
3. No tratar el expediente único como Continuous Due Diligence. Es insumo. El monitoreo es el producto.
4. Documentar el beneficiario controlador con el orden legal. 25% o más; control por otros medios; alta dirección. Conservar el procedimiento seguido.
5. Preparar datos de al menos doce meses para la implementación de la metodología —o proyección explícita si el historial aún no existe.
6. No convertir este artículo en tabla de multas. El Acuerdo define obligaciones y plazos. Las sanciones siguen el régimen de la Ley y la autoridad competente. Inventar montos aquí sería periodismo de brochure.
7. Si no eres actividad vulnerable, no finjas estarlo. Sí puedes —y en cadenas intensivas en terceros deberías— adoptar la lógica: riesgo clasificado, revisado y mitigado con evidencia actualizada.

La perspectiva de Continuous Due Diligence

Una auditoría anual de expedientes —o un KYC guardado en SharePoint— puede estar correcta el día del alta. Puede estar rota el día en que el grado de riesgo, el perfil transaccional y el beneficiario controlador ya no dicen lo mismo que el contrato.

Eso es lo que el Acuerdo 115/2026 no inventa como eslogan y lo que el Capítulo II Quáter sí exige: evidencia viva de a quién se atiende, con qué riesgo, con qué mitigantes y con qué alertas. Continuous Due Diligence, en este expediente, no es marketing. Es la única forma de no confundir un registro con un sistema.

El alta en el padrón de actividades vulnerables compró acceso al esquema. No compró tiempo sobre el riesgo del cliente.

Conclusión

Hacienda no le dijo a México que archive mejor. Le dijo a quien realiza actividades vulnerables que el riesgo se mide, se clasifica y se monitorea —con metodología, con semestres, con beneficiario controlador y, a más tardar en junio de 2027, con mecanismos automatizados verificables.

Quien usó el segundo semestre de 2026 para cerrar brechas llega a marzo de 2027 con un programa. Quien lo usó para reimprimir el Manual de 2020 llega con una tesis: “ya teníamos KYC”. Esa tesis no está en el Capítulo II Quáter.

Fuentes

1. DOF, 7 de agosto de 2026, Acuerdo 115/2026 por el que se modifican las Reglas de carácter general de la LFPIORPI (código 5795797): dof.gob.mx
2. SIDOF / SEGOB, misma nota (HTML): sidof.segob.gob.mx/notas/5795797
3. Cámara de Diputados, LFPIORPI (última reforma DOF 16-07-2025) y decreto de reforma: diputados.gob.mx
4. EY México, Law Flash, 13 de agosto de 2026, “Modificaciones integrales a las Reglas de la LFPIORPI” (síntesis de capítulos y plazos transitorios): ey.com
5. Holland & Knight, 12 de agosto de 2026, “Nuevas reglas de carácter general de la ley antilavado en México”: hklaw.com
6. HLC, “Reforma a las Reglas de Carácter General de la LFPIORPI: principales modificaciones y plazos”: hlc.com