Cumplimiento normativo en México: cómo organizar controles y responsables

Fecha de revisión: 30.10.2026.

Cuando una empresa realiza operaciones que coinciden con el catálogo de Actividades Vulnerables (AV) y además trata datos personales de sus clientes, queda alcanzada por dos regímenes normativos distintos: la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Cumplir no equivale a coleccionar leyes: consiste en convertir esos dos requisitos en tareas diarias, con un responsable definido y con evidencia de cada paso.

Qué obligaciones aplican a su actividad

La norma no se activa por el tamaño de la empresa ni por la compra de un software. Se activa por la operación concreta. Una misma compañía puede estar alcanzada por dos regímenes distintos: prevención de lavado de dinero por realizar una AV y protección de datos por el tratamiento de información personal.

Ejemplo hipotético: una empresa califica como Actividad Vulnerable según la LFPIORPI. Debe identificar a sus clientes conforme al artículo 18 de la ley. Además, al solicitar nombre, teléfono y correo electrónico a cada persona, trata datos personales y queda sujeta a la LFPDPPP (artículos 15 y 16).

El primer ejercicio de cumplimiento es cotejar la operación real con el catálogo legal y verificar si la empresa realiza alguna de las AV. El mismo principio aplica al flujo de datos: si se recaban datos de personas físicas identificadas o identificables, la LFPDPPP aplica desde el primer registro.

A partir de esa verificación se desprenden dos conjuntos de obligaciones:

• Flujo PLD: designar un representante encargado del cumplimiento cuando se trate de una persona moral, identificar a los clientes, integrar y conservar la documentación de identificación, y presentar los avisos correspondientes en los términos de la LFPIORPI.

• Flujo de datos personales: poner a disposición del titular un aviso de privacidad con la información que señala el artículo 15 de la LFPDPPP, incluyendo la identidad del responsable, los datos tratados y las finalidades del tratamiento, y establecer medidas de seguridad conforme al artículo 18.

La gran mayoría de las obligaciones son organizacionales.

De una obligación a un control verificable

Una obligación legal que queda en el papel no protege a la empresa. Cada requisito necesita un dueño, una acción concreta y una evidencia que permita demostrar su ejecución. La tabla siguiente traduce dos obligaciones recurrentes en controles auditables.

La evidencia no es un adorno: ante una revisión de la autoridad, es lo que demuestra que el control existió. Sin ella, la empresa no puede acreditar cumplimiento, aunque haya realizado la acción. Por eso la columna de evidencia debe definirse al mismo tiempo que la acción misma.

El mismo esquema se replica para otras obligaciones, como conservar la documentación por al menos diez años. La clave es que cada renglón de la tabla sea verificable sin depender de la memoria de una persona.

Qué tareas puede automatizar la empresa

Convertir una obligación en una rutina diaria requiere tiempo cuando los clientes se cuentan por cientos. Una tarea que la empresa puede automatizar es la comparación de nombres contra listas de sanciones y personas políticamente expuestas.

Ejemplo hipotético: una empresa captura el nombre y el documento de identidad de un posible comprador y los envía a un servicio de cribado. El sistema coteja los datos contra listas de sanciones, PEP y bloqueo. Si no hay coincidencias, devuelve un resultado limpio; si detecta una posible coincidencia, la marca para revisión. El encargado del cumplimiento analiza el resultado y decide si escala el caso.

Un servicio como Biometric.Vision AML Screening recibe los datos del cliente y, en una misma solicitud, realiza la verificación de identidad —liveness, reconocimiento de documentos y comparación facial— junto con el cotejo contra listas de sanciones, PEP y bloqueo. Las coincidencias se clasifican por relevancia y se filtran los falsos positivos evidentes; los casos dudosos quedan marcados para revisión manual. El sistema no reemplaza el criterio de la organización: la decisión sobre cada caso y la obligación de reportar a la autoridad corresponden exclusivamente a la empresa.

La automatización reduce la carga operativa de la primera revisión, pero no elimina las tareas de interpretación. Conviene pensar el software como una herramienta de apoyo, no como una certificación de cumplimiento integral.

Cómo comprobar que el control funciona

Un control documentado puede fallar en la práctica si nunca se revisa. Tres acciones permiten verificar que lo que está escrito ocurre en la operación real:

1. Muestreo de expedientes: seleccione una muestra de expedientes de identificación y revise que contengan los documentos exigidos, las firmas correspondientes y que la fecha de captura coincida con la de la transacción.

2. Registro y análisis de excepciones: cualquier omisión —un consentimiento faltante, una identificación vencida— debe quedar anotada en una bitácora con la fecha, la causa y la acción correctiva. El simple conteo de excepciones por periodo revela si el control se está relajando.

3. Documentación de la revisión periódica: la persona encargada del cumplimiento y el responsable de datos personales registran por escrito los resultados del muestreo, el número de excepciones y las medidas correctivas aplicadas. La minuta de la revisión sirve como evidencia de supervisión.

Estas prácticas no requieren sistemas sofisticados; una hoja de cálculo compartida basta para empezar. Lo que no puede faltar es la periodicidad fija y la constancia escrita de la revisión.

Quién actualiza el programa cuando cambia una norma

Cuando se publica una reforma en el Diario Oficial de la Federación, el responsable debe leer los artículos transitorios del decreto para determinar a partir de qué fecha rigen las nuevas obligaciones. Por ejemplo, el decreto de 2025 que reformó la LFPIORPI difirió la entrada en vigor de algunas obligaciones nuevas a los plazos que fijen las reglas de carácter general. Ese escalonamiento exige que el encargado ajuste los controles en la fecha correcta.

Un formato mínimo de control de vigencia para cada obligación cubre cuatro elementos:

• Norma y artículo: qué disposición se monitorea.

• Responsable de la actualización: la persona que revisará si la norma cambió. Puede ser el encargado del cumplimiento, el responsable de datos o un asesor externo con un encargo puntual.

• Fecha de la última revisión: anclada a un calendario preestablecido. El programa se actualiza conforme a los cambios de la LFPIORPI y las reglas aplicables.

• Versión del proceso y registro de capacitación: cada vez que se modifica un control, se actualiza la versión del documento y se deja constancia de que los involucrados fueron informados.

Cuando el cambio normativo afecta un proceso automatizado —por ejemplo, se incorpora una nueva lista de bloqueo— la actualización debe reflejarse en la configuración del software. La empresa verifica que el proveedor haya aplicado el cambio y lo documenta en la misma bitácora de control de versión.

La actualización periódica es el único mecanismo que impide que el programa de cumplimiento envejezca y se convierta en un documento decorativo.