Prevención de lavado en México: PLD, CNBV y ley fintech
Los tres regímenes PLD de México — CNBV, ley fintech y LFPIORPI — con el calendario 2025–2028 de las nuevas reglas y qué exige cada uno.
Contenido
- Los tres regímenes: cuál te aplica
- La reforma de julio de 2025
- El calendario que decide tus presupuestos
- Bancos: lo que exige la CNBV
- Fintech: la ley de 2018 y el onboarding digital
- La UIF y el poder de bloquear
- El costo de fallar
- Qué exigen las normas y qué cubre la verificación
- El expediente se gana en el alta
En trece meses, México reescribió su régimen antilavado tres veces. La reforma a la ley antilavado del 16 de julio de 2025, la reforma a su Reglamento del 27 de marzo de 2026 y la reforma de fondo a sus Reglas de Carácter General del 7 de agosto de 2026 forman un solo paquete de prevención de lavado de dinero — PLD, en la sigla oficial de la CNBV — publicado en poco más de un año.
La mayoría de los análisis publicados mira ese paquete desde los notarios y las inmobiliarias. Este artículo lo mira desde el otro lado: qué significa para un banco, una sofom o una fintech, y qué parte se resuelve en el onboarding.
Los tres regímenes: cuál te aplica
El sistema mexicano de PLD son tres marcos con reguladores, reportes y calendarios distintos. Conviene saber en cuál vives antes de leer cualquier reforma.
| Régimen | A quién aplica | Regulador operativo | Reporte clave |
|---|---|---|---|
| Art. 115 de la Ley de Instituciones de Crédito + disposiciones CNBV | Bancos y entidades financieras reguladas | CNBV (supervisión), UIF (inteligencia) | Relevantes, inusuales, «24 horas» |
| Art. 58 de la Ley Fintech + sus disposiciones | ITF: instituciones de fondos de pago electrónico y de financiamiento colectivo | CNBV | Inusuales hasta en 60 días; «24 horas» ante indicios o coincidencia con la LPB |
| LFPIORPI («ley antilavado») | Actividades vulnerables: notarios, inmobiliarias, joyerías, plataformas de activos virtuales, entre otras | SAT (avisos), SHCP | Avisos mensuales por umbrales |
La frontera práctica que más confunde: una plataforma de criptoactivos que no es ITF cae en la LFPIORPI como actividad vulnerable — y desde la reforma de 2025, también si opera con mexicanos desde otra jurisdicción. Una fintech autorizada reporta por la vía CNBV. Un banco vive en el régimen más antiguo y más detallado de los tres.
La reforma de julio de 2025
La reforma a la LFPIORPI endureció el marco en cuatro frentes. Definió al beneficiario controlador con umbral de más del 25 % del capital — y equiparó el término a «beneficiario final y propietario real». Amplió el alcance sobre activos virtuales: umbral de aviso más bajo (210 UMA), operaciones con mexicanos desde el extranjero y la obligación de tener listos los datos del ordenante y el receptor de cada transferencia. Añadió al artículo 18 las obligaciones que la práctica internacional ya daba por sentadas: evaluación de riesgos, manual interno con procedimientos para personas expuestas políticamente, capacitación anual, monitoreo automatizado del perfil transaccional y auditoría anual. Y tocó el Código Penal: el Ministerio Público ya puede investigar el lavado sin esperar la denuncia previa de Hacienda — aunque para ejercer la acción penal esa denuncia sigue siendo requisito.
En paralelo, la misma ola regulatoria alcanzó a la persecución: la pena del artículo 400 Bis sigue en 5 a 15 años de prisión.
El calendario que decide tus presupuestos
La reforma entró en vigor en julio de 2025 — pero sus transitorios remiten las obligaciones operativas a las Reglas de Carácter General, y la reforma a las Reglas publicada el 7 de agosto de 2026 las escalona:
| Fecha | Qué se vuelve exigible |
|---|---|
| 30 de noviembre de 2026 | Entrada en vigor general de las Reglas reformadas, incluido el capítulo de la lista de PEP |
| 1 de marzo de 2027 | Evaluación de riesgos y manual interno; los capítulos de clasificación por riesgo, conocimiento del cliente y beneficiario controlador aplican a las operaciones desde esta fecha |
| 1 de junio de 2027 | Mecanismos automatizados de monitoreo |
| 2027 | Primer año de capacitación exigible |
| 2028 | Primer periodo sujeto a auditoría |
Un plazo más, fácil de pasar por alto: la consulta de PEP en la aplicación de la UIF estará disponible nueve meses después de la entrada en vigor del Acuerdo.
Dos consecuencias prácticas. Primera: quien hoy afirma que «ya está obligado» a la evaluación de riesgos bajo la LFPIORPI se adelanta — la exigibilidad llega por etapas, según los transitorios de las propias Reglas. Segunda: quien planea presupuesto de cumplimiento para 2027–2028 debe partir de este calendario, no de la fecha de la reforma.
Una confusión frecuente: el acuerdo de la CNBV de mayo de 2026 sobre simplificación de trámites no es este documento. La reforma antilavado es el Acuerdo 115/2026, publicado por Hacienda el 7 de agosto, que modifica a fondo las Reglas vigentes desde 2013. Son cosas distintas.
Bancos: lo que exige la CNBV
Para las instituciones de crédito, el marco operativo son las disposiciones del artículo 115 de la LIC, reformadas muchas veces desde 2009. El núcleo: una política de identificación del cliente, un expediente integrado antes de abrir la cuenta y tres canales de reporte a la UIF — operaciones relevantes (efectivo desde 10,000 dólares), operaciones inusuales (hasta 60 días naturales para reportar) y el «reporte de 24 horas» ante indicios de delito grave. Sobre eso, dos órganos internos obligatorios: el Comité de Comunicación y Control y el Oficial de Cumplimiento.
La capa biométrica llegó en 2017: la resolución que añadió los artículos 51 Bis a la Circular Única de Bancos obligó a verificar huellas contra la base del INE y la CURP contra RENAPO, y abrió la puerta a la contratación remota de cuentas con aprobación previa de la CNBV. La reforma de marzo de 2019 reguló el alta no presencial: geolocalización del dispositivo y copia digital de la identificación, entre otros requisitos. El onboarding digital bancario en México no es una tolerancia: es un régimen escrito.
Fintech: la ley de 2018 y el onboarding digital
La Ley Fintech creó dos figuras — fondos de pago electrónico y financiamiento colectivo — y les impuso obligaciones PLD propias en su artículo 58. Sus disposiciones de septiembre de 2018 bajan al detalle del onboarding: la ITF debe obtener la geolocalización del dispositivo desde el que el cliente abre su cuenta, reportar las operaciones inusuales en un plazo de hasta 60 días naturales — con el «reporte de 24 horas» reservado para los indicios de delito — y, ante una coincidencia con la Lista de Personas Bloqueadas, suspender la operación de inmediato y reportar.
Para una fintech, la lectura es directa: el flujo de alta remota es la pieza central de su cumplimiento. Ahí se integra el expediente, ahí se coteja al cliente contra las listas y ahí se decide casi todo lo que la CNBV revisará después.
La UIF y el poder de bloquear
La Unidad de Inteligencia Financiera administra la Lista de Personas Bloqueadas y la usa: entre octubre de 2024 y agosto de 2026 bloqueó más de 24 mil cuentas, una de cada tres ligada a la delincuencia organizada según su titular. Y los tribunales le despejaron el camino: la Suprema Corte validó en abril de 2026 el bloqueo sin orden judicial como medida cautelar administrativa y en agosto cerró la vía de la suspensión para revertirlo, salvo excepciones de subsistencia.
Para un sujeto obligado, el cotejo contra la LPB dejó de ser un trámite: dejar pasar a una persona bloqueada significa operar fondos que la autoridad puede congelar sin pasar por un juez.
El costo de fallar
El precedente reciente no terminó en multa. Terminó en salida del mercado. En junio de 2025, el Tesoro de EE. UU. señaló a CIBanco, Intercam y Vector como fuentes de preocupación principal en materia de lavado de dinero; un año después, CIBanco estaba en liquidación y Vector había cerrado. La cronología completa está en nuestra guía sobre qué es AML.
Qué exigen las normas y qué cubre la verificación
| Exigencia normativa | Cómo se cubre en el onboarding |
|---|---|
| Expediente de identificación antes de abrir la cuenta | Verificación de documentos con validación de autenticidad, más comparación del rostro con el documento y prueba de vida |
| Cotejo contra listas de sanciones, PEP y bloqueo | Screening AML en la misma solicitud: OFAC, UE, ONU, HMT, bases de PEP; puede incorporar listas del regulador o del cliente |
| Las listas cambian después del alta | Monitoreo continuo: nuevo cotejo automático de la base y aviso por webhook ante una coincidencia nueva |
| Evidencia para el supervisor | Registro de cada comprobación, disponible cuando llega el requerimiento |
La frontera honesta: la verificación cubre la puerta de entrada. El monitoreo del perfil transaccional, los reportes a la UIF y las decisiones de aceptación siguen siendo procesos del sujeto obligado — ninguna herramienta los subcontrata.
El expediente se gana en el alta
Las tres normas coinciden en un punto: la identificación del cliente es previa, documentada y auditable. Biometric.Vision la resuelve en una sola solicitud — documento, prueba de vida, comparación de rostros y screening AML con monitorización continua —, con registro completo para el supervisor y despliegue on-premise para quien no puede sacar datos de su perímetro. Los primeros 500 chequeos del mes son gratis.
Solicita una demo y revisa el flujo contra los requisitos de tu régimen.
Preguntas frecuentes
¿Quieres reforzar las verificaciones de tus clientes?
500 verificaciones gratis al mes sin tarjeta, sin contrato, sin llamada comercial.
Escríbenos por Telegram o WhatsApp: respondemos en 5 minutos
