Existe una estrategia del cumplimiento regulatorio que consiste más que nada en esperar: esperar a que el cambio se concrete, a que alguien lo explique, a que el gremio saque una guía o a que llegue la auditoría. Es comprensible, porque los cambios regulatorios son frecuentes, las alertas son muchas y no todas resultan tan relevantes como inicialmente parecen.

El problema con esta estrategia es que suele funcionar mal precisamente en los momentos en que el cambio es significativo y lo que viene en materia de régimen de prevención de lavado de dinero (PLD) en México, es uno de esos momentos.

El ciclo regulatorio que culmina en julio

El sistema mexicano de PLD se basa en tres instrumentos que operan en cascada, primero, la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), segundo, su Reglamento y, tercero, las Reglas emitidas por la Secretaría de Hacienda y Crédito Público.

La LFPIORPI fue reformada mediante decreto publicado en el Diario Oficial de la Federación (DOF) el 16 de julio de 2025. La reforma amplió las obligaciones de los sujetos obligados; actualizó la figura del Beneficiario Controlador con un umbral del 25% de participación en capital o derechos de voto; y estableció el Enfoque Basado en Riesgos (EBR) como obligación explícita, no solo metodología recomendada, equiparando en gran medida principios y obligaciones de quienes realizan actividades vulnerables a las que desde hace años cumple el sector financiero.

El Reglamento fue reformado mediante decreto publicado en el DOF el 27 de marzo de 2026, ampliando las facultades de supervisión del Servicio de Administración Tributaria (SAT), reforzando el enfoque preventivo del sistema y elevando los estándares operativos de cumplimiento que los sujetos obligados deben observar.

Lo que falta y cuyo plazo vence en julio de 2026, conforme al transitorio segundo del decreto de reforma de la LFPIORPI, son las Reglas de Carácter General (RCG) debidamente actualizadas. Esas reglas son la pieza operativa del sistema, porque definen los formatos de avisos al SAT, aclaraciones o excepciones sectoriales de algunas actividades vulnerables, mecanismos de presentación de avisos y los criterios específicos de identificación de clientes que los sujetos obligados deberán observar.

Las actualizaciones a las RCG no están publicadas al momento de escribir este artículo y su contenido exacto no puede anticiparse. Lo que sí puede anticiparse con certeza es que su publicación ocurrirá en los próximos días o semanas y que cuando llegue, el marco regulatorio completo de la materia de PLD en México habrá sido renovado en sus tres capas con la firme intención de aplicar las recomendaciones del Grupo de Acción Financiera Internacional (GAFI), según los resultados de la última evaluación mutua.

Lo que ya está en vigor y muchos todavía no han procesado

El error más frecuente de quienes realizan Actividades Vulnerables en este contexto es esperar las RCG para preocuparse por el cumplimiento, actuando con una lógica de “a ver cómo le hacemos ya que salgan las reglas”. El problema es que la LFPIORPI y el Reglamento ya están vigentes y sus obligaciones de identificar beneficiarios controladores, documentar relaciones con clientes, operar un programa de cumplimiento y presentar avisos cuando corresponde, todo eso ya existe hoy. Las RCG únicamente son la parte operativa y no son el inicio de estas obligaciones, si bien entendemos que algunas de las nuevas obligaciones sí estarán sujetas a la vigencia que indiquen tales reglas.

La empresa que realiza Actividades Vulnerables y que llega a julio de 2026 sin un programa de cumplimiento estructurado no está en posición de esperar las reglas para arrancar, sino que está actualmente en incumplimiento y con un rezago que se hará más visible cuando las reglas actualizadas lleguen, no al revés.

Baja California: por qué el impacto es diferenciado

La Evaluación Nacional de Riesgos 2023 (el ejercicio formal con el que el Estado mexicano analiza su exposición al lavado de dinero y al financiamiento al terrorismo) identifica a las entidades federativas fronterizas del norte de México como zonas de riesgo elevado por su posición geográfica en corredores de tráfico de activos ilícitos. Baja California encabeza esa caracterización por sus características específicas: tráfico fronterizo, volumen de comercio exterior, intensidad de inversión inmobiliaria con capital binacional y un ecosistema de sectores económicos que coinciden con los de mayor exposición a lavado de dinero a nivel nacional.

Lo que esto significa para las empresas de la región Baja California al momento de que el SAT evalúe el perfil de riesgo de los sujetos obligados que verifica, es que las empresas regionales parten de un punto de riesgo inherente más alto que sus equivalentes en otras regiones del país. Un riesgo inherente más alto requiere, consecuentemente, controles y medidas de mitigación más robustos para llegar al mismo nivel de riesgo residual aceptable bajo el EBR.

Los sectores más expuestos en la región: desarrollo inmobiliario, construcción, intermediación en operaciones de compraventa de inmuebles, comercialización de vehículos, joyería, servicios notariales y los propios servicios profesionales cuando los despachos no solo asesoran, sino que ejecutan operaciones por cuenta de sus clientes.

Lo que un programa de cumplimiento bien diseñado debe incluir hoy

Independientemente del contenido exacto de las RCG actualizadas, hay elementos que la Ley, el Reglamento y los estándares del GAFI ya establecen:

• Identificación del beneficiario controlador en cada relación con un cliente persona moral. Si bien, el umbral establecido legalmente es del 25% de participación en capital social o derechos de voto, el control efectivo puede existir por debajo de ese porcentaje a través de acuerdos, poderes o prácticas de facto.
• Debida Diligencia del Cliente (DDC) calibrada al riesgo real de cada relación. Un cliente de bajo riesgo puede procesarse con DDC simplificada, mientras que un cliente de alto riesgo (estructura societaria opaca, transacción inusual y componentes de efectivo significativos) activa una DDC Reforzada que requiere mayor documentación y aprobación a un nivel más elevado dentro de la empresa. Cierto es que podría pensarse que con cumplir con una DDC estándar sería suficiente para aplicar a un cliente de alto riesgo bajo los criterios establecidos en las RCG; sin embargo, no debemos perder de vista que el objetivo principal del programa de PLD en las empresas no es solo evitar multas, sino efectivamente evitar ser utilizadas y participar en operaciones de este tipo que pueden activar consecuencias penales que van más allá se temas administrativos.
• Sistema de avisos al SAT funcionando. Cuando una operación supera los umbrales para la actividad vulnerable que realizas, hay obligación de presentar aviso dentro de los plazos reglamentarios y esa obligación no depende de que la operación sea inusual o sospechosa, sino de que haya ocurrido y de que haya superado el umbral que marca la ley.
• Capacitación y revisión periódica documentada. El personal que interactúa con clientes en transacciones relevantes debe conocer los indicadores de riesgo, el proceso de identificación y el procedimiento para escalar situaciones inusuales. Puede afirmarse que las nuevas RCG determinarán el inicio de la vigencia de esta obligación ciertamente, pero lo que es un hecho es que un programa de PLD serio y diseñado para cumplir con los estándares del GAFI debe incluir este apartado desde siempre. Un programa que no se actualiza cuando cambian las condiciones no es un verdadero EBR.

La posición estratégica correcta

La manera óptima de llegar a julio de 2026 no es como empresa que todavía no sabe si le aplica la LFPIORPI, o como empresa que tiene el manual pero no tiene el sistema operando. La posición correcta para afrontar estos cambios de cumplimiento regulatorio es la de la empresa que ya conoce su perfil de riesgo, que tiene sus controles calibrados a ese perfil y está preparada para actualizar su programa de manera ordenada cuando las nuevas RCG establezcan nuevos parámetros operativos.

Esas empresas, cuando lleguen las reglas, hará ajustes. No arrancará de cero.

Las empresas que lleguen sin haber construido esa base van a enfrentar simultáneamente el rezago del incumplimiento pasado y la presión de cumplir con un nuevo estándar más exigente. Ese escenario es costoso en tiempo, en recursos y en exposición durante el período de transición y regularización.

Lo que es un hecho innegable es que el sistema PLD en México no va a hacerse menos exigente. La dirección de la política regulatoria, alineada con los estándares del GAFI, es de mayor supervisión, mayor transparencia y mayor responsabilidad personal de los directores, operadores y administradores de las empresas, así como de sus propietarios.

Las empresas de Baja California que operan en los sectores más expuestos tienen dos opciones: construir ahora un programa de cumplimiento real y actualizable o continuar sin él, hasta que el costo de no tenerlo supere al costo de tenerlo. Ese punto de cruce suele llegar antes de lo que la mayoría podría anticipar.