Auditoría PLD para Actividades Vulnerables (LFPIORPI 2026)

¿Qué es la auditoría PLD y de dónde sale?

Es una revisión periódica que evalúa y dictamina la efectividad de tu cumplimiento en materia de prevención de lavado de dinero. La obligación está en el artículo 18, fracción XI de la LFPIORPI:

"Contar con la revisión por parte del área de auditoría interna o de una persona auditora externa independiente cuando el riesgo de quien realiza la Actividad Vulnerable sea bajo o medio, o bien, de una persona auditora externa independiente cuando el riesgo… sea alto, según la evaluación realizada conforme a la fracción VII de este artículo, para evaluar y dictaminar en un año calendario la efectividad del cumplimiento de las obligaciones previstas en la Ley y demás disposiciones aplicables. Dichas auditorías se regularán en términos de las reglas de carácter general que emita la Secretaría." — LFPIORPI, Art. 18, fracción XI (adicionado DOF 16/07/2025).

Aplica a cualquier persona física o moral que realice alguna de las Actividades Vulnerables del artículo 17: inmobiliarias, arrendadores, comercializadoras de vehículos, joyería, donatarias, prestamistas, activos virtuales, etc.

¿Interna o externa? Depende de tu nivel de riesgo

La ley conecta la auditoría con tu evaluación de riesgos (EBR): el resultado de tu metodología de enfoque basado en riesgos (Art. 18, fracción VII) determina quién puede auditarte.

Por eso conviene tener bien hecha tu metodología de riesgos: si sales con riesgo bajo o medio, puedes resolver la auditoría internamente; si sales con riesgo alto, tendrás que contratar a un tercero independiente.

El Acuerdo 115/2026 (DOF 7 de agosto de 2026) reguló esta auditoría en su Capítulo XIV (artículos 42 a 51) de las reglas de carácter general, con requisitos distintos según tu nivel de riesgo:

La revisión y el dictamen abarcan el periodo del 1 de enero al 31 de diciembre de cada año; el primer ejercicio auditable es 2028 (Transitorio Octavo del Acuerdo).

¿Desde cuándo aplica?

El primer ejercicio sujeto a auditoría es 2028, conforme a las reglas de carácter general reformadas mediante el Acuerdo 115/2026 (DOF 7 de agosto de 2026). Es decir, se revisará el ejercicio que va del 1 de enero al 31 de diciembre de 2028, y el dictamen correspondiente debe entregarse a más tardar el último día hábil de marzo de 2029.

Todo lo que construyas desde ahora —metodología de riesgos, manual, expedientes, evidencia— es lo que sostendrá ese primer dictamen.

Excepción si te acabas de dar de alta. El artículo 43 establece que, tratándose del primer año de operaciones, el periodo comprende desde la fecha en que inicies operaciones como Actividad Vulnerable hasta el 31 de diciembre del año siguiente. Para quien arranca, ese primer ejercicio auditable es más largo que doce meses.

¿Qué revisa exactamente la auditoría PLD?

La auditoría revisa que las obligaciones del artículo 18 estén implementadas y funcionando. En la práctica, el auditor verificará al menos estos puntos:

• Identificación del cliente y del beneficiario controlador, con expedientes completos.
• Tu metodología de riesgos (EBR) y la clasificación de riesgo de cada cliente.
• Presentación en tiempo de avisos e informes, con su soporte documental.
• Manual de cumplimiento, designación del responsable y evidencia de capacitación.
• Monitoreo de las operaciones y del perfil transaccional.
• Conservación de expedientes y avisos por 10 años.
• Regularización documentada de hallazgos o incumplimientos previos.

No basta con tener los documentos. La auditoría mide si tu sistema de cumplimiento opera de forma efectiva durante todo el año.

Qué debe contener el dictamen de auditoría PLD

Antes de las secciones, el artículo 47 del Acuerdo 115/2026 exige que el dictamen se elabore con una metodología que incluya al menos un cuestionario inicial de conocimiento del auditado y el análisis de su Riesgo, que la persona auditora elabora con la información y documentación que tú le proporciones. Eso es lo primero que te va a pedir.

El mismo artículo obliga a que el dictamen se divida en secciones que contengan como mínimo estos siete elementos:

1. Presentación: datos del auditor, que declara bajo protesta de decir verdad que cumple todos los requisitos y conocimientos para auditar, más sus conclusiones sobre el conocimiento del auditado y los Riesgos que identificó.
2. Objeto: las obligaciones evaluadas según tu Actividad Vulnerable, el tipo de actos u operaciones, el periodo revisado y, en su caso, las sucursales.
3. Volumen de información y muestreo: incluye el número de actos u operaciones revisados y el porcentaje que representan del total.
4. Proceso de auditoría: la revisión efectuada, la metodología del auditor y los asuntos relevantes.
5. Hallazgos: aspectos destacables, deficiencias, omisiones y áreas de oportunidad.
6. Resultados de cumplimiento: evaluación individualizada de cada obligación y su eficacia demostrable.
7. Acciones correctivas y recomendaciones de mejora: propuestas concretas para subsanar los hallazgos.

¿A quién se entrega? Aquí hay una confusión frecuente. El artículo 42 establece que los resultados se presentan al consejo de administración, al administrador único, a la dirección general u órganos equivalentes o, en su caso, directamente a la persona física que realiza la Actividad Vulnerable. Y el artículo 50 dice que la persona auditora entrega el dictamen al auditado. Es decir: el dictamen no se presenta ante el SAT. Lo que exige el artículo 51 es conservarlo y ponerlo a disposición del SAT cuando lo requiera.

Cómo se califica el dictamen de auditoría PLD: los 5 resultados posibles

El dictamen de auditoría PLD califica cada obligación con uno de cinco resultados: cumple, cumple mayoritariamente, cumple parcialmente, no cumple o no aplica. La diferencia entre cumple mayoritariamente y cumple parcialmente depende de si existe evidencia objetiva del cumplimiento, según el artículo 48 del Acuerdo 115/2026.

Fíjate en el matiz: lo que separa cumple mayoritariamente de cumple parcialmente no es el grado de cumplimiento, sino si puedes demostrarlo con evidencia objetiva. En nuestra experiencia, ahí es donde se decide buena parte de la calificación: no en lo que haces, sino en si queda registrado y lo puedes recuperar cuando te lo piden.

Hallazgos, plazos y la ventana para subsanar

El artículo 49 del Acuerdo 115/2026 obliga a que la sección de hallazgos del dictamen incluya una proyección económica del monto al que ascenderían las multas correspondientes en caso de no atender las acciones correctivas.

En concreto, esa sección debe contener:

• Los hallazgos con su correspondiente acción o acciones correctivas.
• Las recomendaciones de mejora que a juicio de la persona auditora se requieran.
• Los plazos y las personas responsables de la implementación.
• Una proyección económica del monto de las multas si no se atienden.
• El seguimiento que llevó a cabo el auditado respecto de los hallazgos y acciones correctivas del dictamen del año inmediato anterior.

Dos precisiones importantes. La proyección es una estimación de la persona auditora, no una multa impuesta ni una cifra de la autoridad. Y a partir del segundo dictamen, lo que no atendiste el año anterior queda documentado: los pendientes se arrastran.

Plazos (artículo 50). La revisión y emisión del dictamen se hace dentro de los primeros tres meses siguientes al cierre del año auditado, y la persona auditora debe entregarlo al auditado a más tardar el último día hábil de marzo. Una vez recibido, debes procurar que todas las acciones correctivas y recomendaciones se atiendan en un plazo que no exceda la fecha de inicio del próximo periodo de auditoría anual, o dentro de los plazos que señale la persona auditora.

Si el dictamen detecta incumplimientos, puedes subsanarlos de manera espontánea, en los casos aplicables, antes de que inicie la revisión del periodo siguiente o dentro de los plazos que fije la persona auditora. Ojo: esta figura del artículo 50 no es lo mismo que la autocorrección del Art. 55 de la LFPIORPI, que procede por única ocasión y antes de que la autoridad inicie sus facultades de verificación.

Por último, el dictamen de auditoría debe conservarse por un plazo no menor a cinco años, contados a partir de que la persona auditora te lo entregue (artículo 51). Es un plazo distinto —y más corto— que los 10 años de conservación de expedientes de identificación, avisos y evidencia de capacitación: no los confundas.

Interna o auditor externo independiente: ¿cuál te conviene?

Si tu nivel de riesgo es bajo o medio, puedes elegir auditoría interna (más económica) o un auditor externo. Muchas empresas eligen al externo aunque no estén obligadas: aporta una mirada independiente y respaldo frente al SAT. Si tu riesgo es alto, no hay opción: la auditoría debe ser externa e independiente.

En cualquier caso, elige un auditor que conozca a fondo la LFPIORPI y su Reglamento, no solo auditoría financiera. Un buen auditor te ayuda a detectar y subsanar antes, no solo a señalar.

Qué evaluará y qué te puede pedir el SAT

La auditoría dictamina la efectividad de tu cumplimiento. La reforma al Reglamento (DOF 27/03/2026) facultó al SAT para, en una verificación, requerir el dictamen de la auditoría (interna o externa) y la documentación soporte que acredite la regularización de las inconsistencias identificadas.

En otras palabras: no basta con tener el dictamen; si el auditor detectó hallazgos, debes poder demostrar cómo los corregiste. Ese deber tiene fundamento propio en el artículo 50 del Acuerdo 115/2026: recibido el dictamen, debes procurar que todas las acciones correctivas y recomendaciones se atiendan antes de que inicie el siguiente periodo de auditoría anual.

No la confundas con la auditoría de la CNBV

Esta auditoría es del régimen de Actividades Vulnerables (LFPIORPI, supervisado por el SAT/UIF). Es distinta de las revisiones del sector financiero supervisado por la CNBV, como la auditoría CNBV a SOFOM ENR o el dictamen técnico. Si operas bajo ambos regímenes, cumples cada uno por separado; el manual o dictamen de uno no sustituye al del otro.

Cómo prepararte para la auditoría PLD

Con las reglas ya publicadas, el detalle está definido y el primer ejercicio auditable es 2028. Estos son los pasos que conviene adelantar:

• Ten al día tu metodología de riesgos (EBR): define tu nivel de riesgo y, con ello, si tu auditoría puede ser interna o debe ser externa.
• Ordena tus expedientes, avisos e informes con su soporte, listos para revisión.
• Documenta la regularización de cualquier hallazgo o incumplimiento previo. El artículo 55 permite, por única ocasión, regularizarte de forma espontánea antes de que inicien las facultades de verificación y evitar la sanción.
• Elige un auditor aliado, que te ayude a detectar y subsanar antes, no solo a señalar.

Los requisitos de la persona auditora, el contenido del dictamen y los plazos están en el Capítulo XIV (artículos 42 a 51) del Acuerdo 115/2026, que entra en vigor el 30 de noviembre de 2026.

¿Qué pasa si no la cumplo?

La auditoría es una de las obligaciones del artículo 18. Incumplir cualquiera de ellas se sanciona conforme al artículo 53, fracción II y al artículo 54, fracción I: multa de 200 a 2,000 UMA ($23,462 a $234,620 en 2026) por obligación incumplida. Consulta el detalle en multas ley antilavado 2026.