Prevención de lavado en México: PLD, CNBV y ley fintech
Los tres regímenes PLD de México — CNBV, ley fintech y LFPIORPI — con el calendario 2025–2028 de las nuevas reglas y qué exige cada uno.
En trece meses, México reescribió su régimen antilavado tres veces. La reforma a la ley antilavado del 16 de julio de 2025, la reforma a su Reglamento del 27 de marzo de 2026 y la reforma de fondo a sus Reglas de Carácter General del 7 de agosto de 2026 forman un solo paquete de prevención de lavado de dinero (PLD, en la sigla oficial de la CNBV), publicado en poco más de un año.
Casi todo lo que se ha escrito sobre ese paquete habla de notarios e inmobiliarias. Aquí lo vemos desde un banco, una sofom o una fintech, y separamos la parte que se resuelve en el onboarding.
Los tres regímenes: cuál te aplica
El sistema mexicano de PLD son tres marcos, cada uno con su regulador, sus reportes y su calendario. Antes de leer cualquier reforma, ubica en cuál estás.
| Régimen | A quién aplica | Regulador operativo | Reporte clave |
|---|---|---|---|
| Art. 115 de la Ley de Instituciones de Crédito + disposiciones CNBV | Bancos y entidades financieras reguladas | CNBV (supervisión), UIF (inteligencia) | Relevantes, inusuales, «24 horas» |
| Art. 58 de la Ley Fintech + sus disposiciones | ITF: instituciones de fondos de pago electrónico y de financiamiento colectivo | CNBV | Inusuales hasta en 60 días; «24 horas» ante indicios o coincidencia con la LPB |
| LFPIORPI («ley antilavado») | Actividades vulnerables: notarios, inmobiliarias, joyerías, plataformas de activos virtuales, entre otras | SAT (avisos), SHCP | Avisos mensuales por umbrales |
La frontera que más confunde en la práctica: una plataforma de criptoactivos que no es ITF cae en la LFPIORPI como actividad vulnerable. Desde la reforma de 2025, también si opera con mexicanos desde otra jurisdicción. Una fintech autorizada reporta por la vía CNBV. Un banco vive en el régimen más antiguo y más detallado de los tres.
La reforma de julio de 2025
La reforma a la LFPIORPI endureció el marco en cuatro frentes. Definió al beneficiario controlador con umbral de más del 25 % del capital y equiparó el término a «beneficiario final y propietario real». Amplió el alcance sobre activos virtuales: umbral de aviso más bajo (210 UMA), operaciones con mexicanos desde el extranjero y la obligación de tener listos los datos del ordenante y el receptor de cada transferencia. Añadió al artículo 18 obligaciones que la práctica internacional ya daba por sentadas: evaluación de riesgos, manual interno con procedimientos para personas expuestas políticamente, capacitación anual, monitoreo automatizado del perfil transaccional y auditoría anual. Por último, tocó el Código Penal. El Ministerio Público ya puede investigar el lavado sin esperar la denuncia previa de Hacienda, aunque esa denuncia sigue siendo requisito para ejercer la acción penal.
La pena del artículo 400 Bis no cambió: sigue en 5 a 15 años de prisión.
El calendario que decide tus presupuestos
La reforma entró en vigor en julio de 2025. Sus transitorios, sin embargo, remiten las obligaciones operativas a las Reglas de Carácter General, y la reforma a las Reglas publicada el 7 de agosto de 2026 las escalona así:
| Fecha | Qué se vuelve exigible |
|---|---|
| 30 de noviembre de 2026 | Entrada en vigor general de las Reglas reformadas, incluido el capítulo de la lista de PEP |
| 1 de marzo de 2027 | Evaluación de riesgos y manual interno; los capítulos de clasificación por riesgo, conocimiento del cliente y beneficiario controlador aplican a las operaciones desde esta fecha |
| 1 de junio de 2027 | Mecanismos automatizados de monitoreo |
| 2027 | Primer año de capacitación exigible |
| 2028 | Primer periodo sujeto a auditoría |
Hay un plazo más que es fácil pasar por alto: la consulta de PEP en la aplicación de la UIF estará disponible nueve meses después de la entrada en vigor del Acuerdo.
Esto tiene dos consecuencias prácticas. Quien hoy afirma que «ya está obligado» a la evaluación de riesgos bajo la LFPIORPI se adelanta, porque la exigibilidad llega por etapas según los transitorios de las propias Reglas. Y si estás armando el presupuesto de cumplimiento para 2027–2028, parte de este calendario y no de la fecha de la reforma.
Ojo con una confusión frecuente. El acuerdo de la CNBV de mayo de 2026 sobre simplificación de trámites es otro documento. La reforma antilavado es el Acuerdo 115/2026, que Hacienda publicó el 7 de agosto y que modifica a fondo las Reglas vigentes desde 2013.
Bancos: lo que exige la CNBV
Para las instituciones de crédito, el marco operativo son las disposiciones del artículo 115 de la LIC, reformadas muchas veces desde 2009. Piden una política de identificación del cliente, un expediente integrado antes de abrir la cuenta y tres canales de reporte a la UIF: operaciones relevantes (efectivo desde 10,000 dólares), operaciones inusuales (hasta 60 días naturales para reportar) y el «reporte de 24 horas» ante indicios de delito grave. Además, el banco debe tener dos órganos internos: el Comité de Comunicación y Control y el Oficial de Cumplimiento.
La capa biométrica llegó en 2017. La resolución que añadió los artículos 51 Bis a la Circular Única de Bancos obligó a verificar huellas contra la base del INE y la CURP contra RENAPO, y permitió la contratación remota de cuentas con aprobación previa de la CNBV. La reforma de marzo de 2019 reguló el alta no presencial: geolocalización del dispositivo y copia digital de la identificación, entre otros requisitos. El onboarding digital bancario en México tiene, por tanto, reglas escritas y detalladas.
Fintech: la ley de 2018 y el onboarding digital
La Ley Fintech creó dos figuras, los fondos de pago electrónico y el financiamiento colectivo, y en su artículo 58 les impuso obligaciones PLD propias. Sus disposiciones de septiembre de 2018 bajan al detalle del onboarding. La ITF debe obtener la geolocalización del dispositivo desde el que el cliente abre su cuenta y reportar las operaciones inusuales en un plazo de hasta 60 días naturales; el «reporte de 24 horas» queda para los indicios de delito. Si hay coincidencia con la Lista de Personas Bloqueadas, tiene que suspender la operación de inmediato y reportar.
Para una fintech, el flujo de alta remota es la pieza central del cumplimiento. En ese paso se integra el expediente y se coteja al cliente contra las listas, y de ahí sale casi todo lo que la CNBV revisará después.
La UIF y el poder de bloquear
La Unidad de Inteligencia Financiera administra la Lista de Personas Bloqueadas y la usa: entre octubre de 2024 y agosto de 2026 bloqueó más de 24 mil cuentas, una de cada tres ligada a la delincuencia organizada según su titular. Y los tribunales le despejaron el camino: la Suprema Corte validó en abril de 2026 el bloqueo sin orden judicial como medida cautelar administrativa y en agosto cerró la vía de la suspensión para revertirlo, salvo excepciones de subsistencia.
Para un sujeto obligado, el cotejo contra la LPB pesa más que antes. Si deja pasar a una persona bloqueada, termina operando fondos que la autoridad puede congelar sin pasar por un juez.
El costo de fallar
El precedente reciente acabó con bancos fuera del mercado. En junio de 2025, el Tesoro de EE. UU. señaló a CIBanco, Intercam y Vector como fuentes de preocupación principal en materia de lavado de dinero; un año después, CIBanco estaba en liquidación y Vector había cerrado. La cronología completa está en nuestra guía sobre qué es AML.
Qué exigen las normas y qué cubre la verificación
| Exigencia normativa | Cómo se cubre en el onboarding |
|---|---|
| Expediente de identificación antes de abrir la cuenta | Verificación de documentos con validación de autenticidad, más comparación del rostro con el documento y prueba de vida |
| Cotejo contra listas de sanciones, PEP y bloqueo | Screening AML en la misma solicitud: OFAC, UE, ONU, HMT, bases de PEP; puede incorporar listas del regulador o del cliente |
| Las listas cambian después del alta | Monitoreo continuo: nuevo cotejo automático de la base y aviso por webhook ante una coincidencia nueva |
| Evidencia para el supervisor | Registro de cada comprobación, disponible cuando llega el requerimiento |
La verificación cubre la puerta de entrada y nada más. El monitoreo del perfil transaccional, los reportes a la UIF y las decisiones de aceptación siguen a cargo del sujeto obligado, y ninguna herramienta se los quita de encima.
El expediente se gana en el alta
Las tres normas piden lo mismo en este punto: identificar al cliente antes, dejarlo documentado y poder auditarlo. Biometric.Vision lo resuelve en una sola solicitud (documento, prueba de vida, comparación de rostros y screening AML con monitorización continua), con registro completo para el supervisor y despliegue on-premise si no puedes sacar datos de tu perímetro. Los primeros 500 chequeos del mes son gratis.
Solicita una demo y revisa el flujo contra los requisitos de tu régimen.
Preguntas frecuentes
¿Quieres reforzar las verificaciones de tus clientes?
500 verificaciones gratis al mes sin tarjeta, sin contrato, sin llamada comercial.
