Debida diligencia del cliente en México: qué revisar y cuándo reforzarla

Fecha de revisión: 30.10.2026.

El 7 de agosto de 2026 se publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, que incorpora los capítulos III Bis, III Ter y III Quinquies a las reglas de carácter general en materia de prevención de lavado de dinero aplicables a quienes realizan Actividades Vulnerables. Las medidas reforzadas que ahí se detallan deberán observarse respecto de los actos u operaciones realizados a partir del 1 de marzo de 2027, conforme al cuarto transitorio del propio acuerdo.

El término debida diligencia también se emplea en procesos de fusiones y adquisiciones y en materia de derechos humanos, donde las empresas evalúan el impacto de sus actividades en la cadena de suministro y en las comunidades. Este artículo se limita a la debida diligencia del cliente que exigen la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (reformada mediante decreto publicado el 16 de julio de 2025) y las reglas de carácter general. El propósito es que el oficial de cumplimiento conozca al cliente, evalúe el riesgo de lavado de dinero y decida si corresponde pedir más información. El contexto completo de estas obligaciones se describe en el panorama de la PLD en México; la integración del expediente se detalla en la guía del expediente de identificación.

Para quien gestiona el cumplimiento, la cuestión se traduce en tres decisiones: qué revisar además del documento de identidad, cuándo activar medidas reforzadas y cómo documentar cada paso sin caer en sobrecumplimiento ni en omisiones que expongan a observaciones del regulador.

Qué se revisa además del documento de identidad

La debida diligencia empieza con la identificación formal —nombre, documento oficial— y la verificación de que la persona es quien afirma ser. El artículo 18, fracción I de la LFPIORPI permite basarse en documentos u otros medios de identificación con reconocimiento oficial; una guía sobre los métodos de verificación se encuentra en la verificación del cliente. Sin embargo, confirmar la identidad no excluye el riesgo de que los recursos provengan de actividades ilícitas.

Por eso la regulación exige también información sobre la actividad económica, la estructura accionaria y, cuando el riesgo o la naturaleza de la operación lo justifican, el origen de los recursos. El artículo 18, fracción II obliga a solicitar, en relaciones de negocios, la información sobre la actividad u ocupación del cliente, incluyendo los avisos del Registro Federal de Contribuyentes. El expediente de identificación reúne todas estas piezas. La diferencia entre identificación y conocimiento del cliente cambia la decisión de riesgo: la primera dice quién es el cliente; la segunda, qué actividad se puede esperar de él. Cuando lo esperado no coincide con lo observado, se dispara la necesidad de medidas reforzadas.

Cuándo hacen falta medidas reforzadas

Las medidas reforzadas se activan con base en factores de riesgo: clientes que son personas expuestas políticamente (PEP), operaciones complejas, jurisdicciones de alto riesgo o movimientos inusualmente elevados. La fracción X del artículo 18 de la LFPIORPI ya obliga a un seguimiento intensificado de los clientes de alto riesgo, y los nuevos capítulos III Bis y III Ter —que el Acuerdo 115/2026 incorpora a las reglas de carácter general— detallan los mecanismos que complementan esa obligación a partir del 1 de marzo de 2027.

El artículo 23 Ter 1 de las reglas exige determinar el perfil transaccional del cliente a partir de la información proporcionada, el monto y la frecuencia de las operaciones, y el origen y destino de los recursos. El artículo 23 Ter 2 obliga a implantar un sistema de alertas que detecte cambios en ese perfil o en el comportamiento del cliente. Cuando una operación se aparta de lo esperado, corresponde revisar y actualizar el expediente. Hasta la entrada en vigor del nuevo régimen, el 1 de marzo de 2027, los oficiales de cumplimiento necesitan adaptar manuales, capacitar al personal y alistar los sistemas de monitoreo.

Las medidas reforzadas implican un análisis más profundo de la información recabada; para los PEP con grado de riesgo alto, el artículo 23 Ter 5 exige la aprobación de un directivo o equivalente. La distinción entre diligencia estándar y reforzada constituye el núcleo de la defensa ante el regulador: demostrar que, ante un riesgo mayor, la entidad intensificó sus controles de manera proporcional.

Listas y PEP dentro de la revisión

Una vez recabada la información del cliente, el siguiente paso es el cruce contra listas de sanciones, personas políticamente expuestas y otras bases de datos de riesgo. El artículo 23 Bis 4 de las reglas obliga a clasificar como clientes de alto riesgo a determinados no residentes vinculados con ciertas jurisdicciones —cuya lista publica la UIF— y a los PEP extranjeros.

Ejemplo ilustrativo, no documenta una operación real: una empresa que realiza Actividades Vulnerables recibe la solicitud de un comprador persona moral constituida en México. El oficial de cumplimiento ingresa en la herramienta de screening el nombre completo, la fecha de nacimiento y la nacionalidad del representante legal y del accionista mayoritario. El sistema cruza los datos contra listas OFAC, ONU y listas de PEP.

• Primer escenario: la consulta no arroja coincidencias. El oficial documenta el resultado; la decisión sobre el riesgo sigue abierta y puede requerir más información según el perfil del cliente. El paso siguiente es solicitar la declaración de actividad y, si el perfil de riesgo lo exige, evidencia del origen patrimonial.

• Segundo escenario: el sistema devuelve una coincidencia con un nombre en la lista de sanciones de la OFAC. El oficial analiza si los datos asociados —fecha de nacimiento, nacionalidad— corresponden a la persona verificada o se trata de un homónimo. Si la coincidencia es positiva, se escala al comité de cumplimiento para decidir el rechazo de la operación o, en su caso, el reporte correspondiente.

El módulo de verificación AML de Biometric.Vision compara al cliente con listas de sanciones y PEP dentro de la misma solicitud de verificación de identidad. Recibe el nombre y otros datos del cliente y los coteja contra listas; devuelve un resultado clasificado: «sin coincidencias», «coincidencia» o «para revisión». No verifica el origen de los fondos, y la decisión sobre el riesgo corresponde al oficial de cumplimiento.

Diligencia simplificada: cuándo no puede presumirse

Para quienes realizan Actividades Vulnerables, las reglas de carácter general no establecen un régimen general de diligencia simplificada. La identificación del cliente es obligatoria en todos los casos. No puede presumirse una simplificación de la debida diligencia solo porque el monto de la operación sea pequeño, ya que no existe una disposición que la autorice de manera universal.

El transitorio cuarto del decreto de reforma de 2025 encomienda a la UIF y al SAT implementar medidas simplificadas para asociaciones y sociedades sin fines de lucro, ajustadas al nivel de riesgo. Hasta que esas medidas se concreten en disposiciones específicas, no eliminan la obligación de identificación ni constituyen un régimen simplificado vigente. Presumir una simplificación fuera de esos supuestos puede generar observaciones o requerimientos en una revisión de cumplimiento.

Qué evidencia conserva el equipo y cuándo vuelve a revisar

La información y documentación que integran el expediente de debida diligencia debe conservarse por al menos diez años contado a partir de la fecha de la realización de la Actividad Vulnerable, excepto para la actividad prevista en la fracción XIV del artículo 17 de la LFPIORPI. Si se promueve un recurso o juicio, el plazo de conservación se interrumpe y se reanuda cuando la resolución definitiva quede firme. La evidencia incluye: copia del documento de identidad, resultado de la verificación de identidad, consulta a listas, declaración de actividad, análisis de riesgo y, cuando se aplicaron, los documentos de medidas reforzadas y, en el caso de PEP de alto riesgo, la autorización del nivel jerárquico correspondiente.

El perfil transaccional se monitorea de forma continua mediante el sistema de alertas; cualquier cambio significativo en el comportamiento del cliente —por ejemplo, una persona física con ingresos modestos que súbitamente recibe transferencias internacionales de seis dígitos— dispara una revisión inmediata. Cuando eso ocurre, el oficial de cumplimiento solicita de nuevo información sobre el origen y el destino de los fondos, reevalúa el riesgo y decide si conserva la relación, la condiciona o la termina.

Esta es la última línea de defensa: la debida diligencia no elimina por completo la posibilidad de que el cliente oculte una actividad ilícita, pero demuestra ante el regulador que la entidad actuó con la intensidad que correspondía al riesgo detectado.