La Secretaría de Hacienda y Crédito Público (SHCP) publicó en el Diario Oficial de la Federación, el 7 de agosto de 2026, las Reglas de Carácter General (RCG) previstas en la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). La Unidad de Inteligencia Financiera (UIF) difundió el Comunicado Hacienda No. 65 el 10 de agosto de 2026, confirmando esa publicación en el DOF. Las Reglas desarrollan las reformas a la Ley y a su Reglamento publicadas en 2025 y 2026, respectivamente, y consolidan el Enfoque Basado en Riesgo (EBR) como principio rector para todos los sujetos obligados que realizan Actividades Vulnerables.
Para los despachos de abogados, notarios, corredores públicos, desarrolladores inmobiliarios, comerciantes de metales preciosos y los demás sujetos obligados no financieros alcanzados por el artículo 18 de la LFPIORPI, la publicación cierra una espera que rebasó el plazo estatutario de un año vencido el 17 de julio de 2026. También activa las obligaciones operativas del artículo 18, fracciones VII a XI, relativas al monitoreo automatizado, las auditorías externas, la capacitación y los controles conexos, que permanecían inertes hasta que bajaran las reglas secundarias. El comunicado de la UIF enmarca el paquete como una alineación con los estándares del GAFI y una consolidación del régimen preventivo mexicano.
¿Qué cambia para los sujetos obligados que realizan Actividades Vulnerables?
Las RCG desplazan el cumplimiento PLD mexicano de una lista de verificación basada solo en reglas hacia una metodología documentada basada en riesgo. Todo sujeto obligado debe ahora identificar, evaluar, clasificar y documentar los riesgos asociados a sus clientes o usuarios, operaciones, productos, servicios, canales de operación y zonas geográficas, y calibrar sus controles a ese perfil de riesgo. El comunicado insiste en que la SHCP, por conducto de la UIF, supervisará también bajo un enfoque basado en riesgo, concentrando la verificación en los sectores y actividades con mayor exposición al lavado.
Las Reglas refuerzan además cinco pilares de control: el conocimiento del cliente o usuario, la identificación del beneficiario controlador, el cribado de Personas Políticamente Expuestas (PEP), los mecanismos de control interno y la conservación de información, y la presentación de avisos. Un modelo de cumplimiento proporcional vincula la profundidad de las obligaciones y de la supervisión al nivel de riesgo de cada Actividad Vulnerable, de modo que los actores de menor riesgo enfrentan deberes más ligeros y los de alto riesgo cargan con el peso completo.
¿Qué obligaciones del artículo 18 se vuelven operables, y para cuándo?
Las RCG fijan una entrada en vigor escalonada. Según la presentación de la UIF sobre las RCG, las Reglas entran en vigor en noviembre de 2026, con una ventana de seis meses de capacitación para OSFL y demás Actividades Vulnerables a partir de esa fecha. El cumplimiento de las nuevas obligaciones se sitúa en marzo de 2027, los nuevos layouts de avisos surten efecto en junio de 2027, el primer periodo anual de auditoría corre a lo largo de 2028, y el primer dictamen de auditoría vence en marzo de 2029. Las fracciones VII a XI del artículo 18, que exigen monitoreo automatizado, programas de auditoría, capacitación y controles internos conexos, se vuelven exigibles conforme a este calendario de las RCG. Los sujetos obligados que aplazaron la construcción de estos sistemas mientras las reglas estaban pendientes deben levantarlos dentro de la ventana de transición.
¿Quiénes están más expuestos y qué deben hacer ya los responsables de cumplimiento?
Los actores más expuestos son los DNFBP (negocios y profesiones no financieras designadas) que realizan Actividades Vulnerables bajo la LFPIORPI: despachos que manejan operaciones o fondos de clientes, notarios y corredores públicos, intermediarios inmobiliarios, comerciantes de metales y piedras preciosas, y el conjunto de prestadores de servicios señalados en el Anexo. Como el modelo proporcional concentra la presión supervisora en los sectores de alto riesgo, estos actores enfrentan las obligaciones más tempranas y profundas.
| Obligación | Situación antes de las RCG | Con las RCG |
|---|---|---|
| Metodología basada en riesgo (EBR) | No codificada como principio vinculante | Obligatoria: identificar, evaluar, clasificar y documentar riesgos |
| Beneficiario controlador y cribado PEP | Exigidos en principio | Reforzados: conocimiento del cliente, beneficiario controlador e identificación de PEP |
| Art. 18 VII a XI (monitoreo, auditorías, capacitación) | Inertes, a la espera de las reglas | Operables con EIF escalonada (nov. 2026 vigencia RCG; mar. 2027 obligaciones; jun. 2027 layouts; 2028 año de auditoría; mar. 2029 primer dictamen) |
| Modelo de supervisión | Uniforme | Basado en riesgo y proporcional al riesgo de la actividad |
Para un responsable de cumplimiento, el trabajo inmediato es construir o adquirir una metodología EBR que documente el riesgo de cliente, producto, canal y geografía; mapear cada Actividad Vulnerable que realiza el despacho a un nivel de riesgo; y confirmar que los flujos de conocimiento del cliente, beneficiario controlador y PEP estén integrados en el alta y la revisión periódica. Los equipos deben también acotar el monitoreo automatizado, la capacitación y las auditorías externas contra el calendario de la UIF hasta marzo de 2029, en lugar de tratarlos como lejanos. El monitoreo continuo por jurisdicción hace visible este tipo de regla secundaria en el momento en que se publica en el DOF, que es la diferencia entre arrancar en la entrada en vigor de noviembre de 2026 y reaccionar a destiempo.
Aproveche esta vigilancia en tiempo real
Qué hacer a continuación
Confirme si su despacho realiza una Actividad Vulnerable listada en el artículo 17 de la LFPIORPI y en el Anexo, y a qué umbral de volumen. Cruce sus controles actuales de conocimiento del cliente, beneficiario controlador y PEP con los requisitos reforzados de las RCG, e identifique las brechas a cerrar antes de la entrada en vigor de noviembre de 2026. Informe a su equipo de cumplimiento y, en su caso, a sus redes de notarios o corredores públicos sobre las nuevas obligaciones proporcionales, y fije los frentes de capacitación, layouts de avisos, monitoreo y auditoría externa contra los hitos de marzo de 2027, junio de 2027, 2028 y marzo de 2029. El texto de las Reglas y la presentación de la UIF son las referencias autoritativas; Obsidian las sigue desde la publicación hasta la fiscalización.
