Expediente único de identificación: actividades vulnerables

¿Qué es el expediente único de identificación?

La Ley obliga a quien realiza actividades vulnerables a identificar y conocer de manera directa a sus clientes, verificar su identidad con documentos oficiales y recabar copia de ellos (artículo 18, fracción I). Si el cliente es persona moral, fideicomiso u otra figura jurídica, también debe recabar documentos para identificar a su beneficiario controlador; si es persona física, su declaración sobre si conoce a un beneficiario controlador (fracción III).

Las Reglas de Carácter General concretan esa obligación en un expediente único de identificación por cliente (artículo 12). Cinco reglas lo definen:

• Uno por cliente: el mismo expediente sirve para todos los actos u operaciones que se realicen con ese cliente.
• Datos y copias: se asientan los datos y se incluyen copias de los documentos que señala el anexo que corresponde al tipo de cliente.
• Copias legibles y cotejadas: hay que asegurarse de que las copias sean legibles y cotejarlas contra los documentos originales o copias certificadas.
• Un solo archivo: puede conservarse en forma física o electrónica, siempre que todos los datos y documentos estén en un mismo archivo físico o electrónico.
• A disposición de la autoridad: el expediente debe estar disponible para la UIF y el SAT.

Además, está prohibido llevar los registros de los clientes bajo nombres ficticios o confidenciales (artículo 23 de las Reglas).

Si vienes del sector financiero, ojo con lo que no piden los anexos de actividades vulnerables: no piden asentar el número de serie de la firma electrónica avanzada del cliente ni su género, y las Reglas no regulan una entrevista presencial. Lo que sí pide la Ley es identificar y conocer al cliente «de manera directa» (artículo 18, fracción I).

¿Cuándo se integra y cuándo se actualiza?

El expediente se integra de manera previa o durante la realización del acto u operación o, si se establece una relación de negocios, antes o al momento de establecerla (artículo 12 de las Reglas). Si la actividad se realiza por medios electrónicos, ópticos o cualquier otra tecnología, el expediente se integra previamente (artículo 18 de las Reglas).

Con los clientes con los que hay relación de negocios, a partir del 30 de noviembre de 2026, al menos una vez al año debes verificar que el expediente tenga todos los datos y documentos del artículo 12 y que estén actualizados, «salvo el documento que compruebe el domicilio el cual deberá cumplir con una antigüedad no mayor a tres meses conforme a los Anexos de estas reglas que así lo solicitan» (artículo 21 de las Reglas). Al cliente ocasional, sin relación de negocios, no le aplica esta verificación anual. Cómo se hace la verificación debe quedar en tu Manual de Políticas Internas (artículo 11).

Si el cliente se niega a proporcionar la información o los documentos, debes abstenerte, sin responsabilidad alguna, de realizar el acto u operación (artículo 21 de la Ley).

Identificación y conocimiento del cliente: no son lo mismo

El artículo 18, fracción I, de la Ley pide identificar y conocer al cliente. Las Reglas de Carácter General separan esas dos obligaciones en capítulos distintos, y el expediente es la parte documental de la primera:

• Identificación (Capítulo III, artículos 12 a 23): responde a quién es el cliente. Se cumple con los datos y las copias de documentos del anexo que le corresponde, y se conserva en el expediente único de identificación.
• Clasificación del riesgo (Capítulo III Bis, artículos 23 Bis a 23 Bis 4): ubica a cada cliente en un grado de riesgo, al menos bajo, medio o alto, con un modelo descrito en el Manual de Políticas Internas. El grado se reevalúa al menos cada seis meses, y con mayor frecuencia cuanto más alto es.
• Conocimiento (Capítulo III Ter, artículos 23 Ter a 23 Ter 5): responde a cómo opera el cliente. Exige una política de conocimiento integrada en el Manual, un perfil transaccional por cliente y un sistema de alertas que detecte cambios en su comportamiento.

El perfil transaccional considera la información que da el cliente o que obra en tus archivos; el monto, número y frecuencia de sus actos u operaciones; y el origen y destino de los recursos (artículo 23 Ter 1). Durante al menos los primeros seis meses se forma con los montos máximos mensuales que el propio cliente estima realizar, y después se evalúa al menos cada seis meses. Si con el cliente solo hay un acto u operación, el perfil se integra con la información que proporciona en ese único acto.

Las dos obligaciones se tocan en el expediente:

• La política de conocimiento debe prever en qué casos un cambio significativo en el perfil obliga a revisar y actualizar el expediente de identificación (artículo 23 Ter, fracción IV).
• Con clientes de riesgo alto se aplica un cuestionario de identificación sobre el origen y destino de los recursos, que puede hacerse a distancia siempre que lleve la firma electrónica de quien lo suscribe (artículo 23 Ter 3). Si es persona física, se obtienen además los datos de su cónyuge, dependientes económicos y sociedades con las que tenga vínculos patrimoniales, en los términos del Manual; si es persona moral, se confirma la información de sus principales accionistas o socios en los registros electrónicos de la Secretaría de Economía (artículo 23 Ter 4).
• Si el cliente deja de ser de bajo riesgo, el expediente simplificado se completa con todos los documentos (artículos 17 y 17 Bis).

Los Capítulos III Bis y III Ter se observan para los actos u operaciones realizados a partir del 1 de marzo de 2027 (transitorio cuarto del Acuerdo 115/2026). Las Reglas de 2013 no contemplaban perfil transaccional, sistema de alertas ni grados de riesgo bajo, medio y alto. Cómo construir el modelo de riesgo está en la guía de evaluación de riesgos PLD.

¿Qué anexo aplica a cada tipo de cliente?

Los anexos y artículos que se describen en esta guía corresponden al texto reformado por el Acuerdo 115/2026, que rige a partir del 30 de noviembre de 2026. Hasta el 29 de noviembre de 2026 se aplica el texto de 2013, modificado en 2014; las diferencias están en la sección «¿Qué cambia el 30 de noviembre de 2026?».

El artículo 12 de las Reglas asigna un anexo a cada tipo de cliente de una actividad vulnerable:

Si el cliente del Anexo 7-A es una dependencia o entidad pública, se asientan los datos del inciso a) del Anexo 4 Bis (Anexo 7). Los Anexos 1, 2, 2 Bis y 2 Ter no son de clientes: contienen los datos para el alta y registro de quien realiza la actividad vulnerable.

Persona física mexicana o residente (Anexo 3)

Aplica a la persona física que declara ser mexicana y a la extranjera con residencia temporal o permanente en términos de la Ley de Migración.

Datos que se asientan: apellidos y nombre sin abreviaturas; fecha de nacimiento; país de nacimiento; país de nacionalidad; actividad, ocupación o profesión (cuando se establece una relación de negocios); domicilio completo en el lugar de residencia, con código postal y país; teléfono, cuando lo tenga; correo electrónico, en su caso; CURP y RFC, cuando cuente con ellas; y los datos de la identificación (nombre del documento, autoridad que lo emite y número). Si reside en el extranjero y tiene un domicilio en México para recibir correspondencia, también se asienta ese domicilio.

Documentos de los que se incluye copia:

• Identificación oficial original, emitida por autoridad competente, vigente o con vencimiento no mayor a dos años al momento de presentarla, con fotografía, firma y, en su caso, domicilio. Valen la credencial para votar del INE y cualquier identificación con fotografía y firma emitida por autoridades mexicanas federales, estatales o municipales, excepto la cédula profesional. Para extranjeros también valen el pasaporte y el documento del Instituto Nacional de Migración que acredite su condición de estancia.
• Constancia de la CURP o Cédula de Identificación Fiscal del SAT, cuando cuente con ellas. No es necesario presentar la constancia de la CURP si la clave aparece en otro documento o identificación oficial.
• Comprobante de domicilio, solo cuando el domicilio que manifiesta el cliente no coincide con el de la identificación o esta no lo contiene. Puede ser un recibo de servicios domiciliados o un estado de cuenta bancario con antigüedad no mayor a tres meses, el contrato de arrendamiento vigente y registrado ante la autoridad fiscal, o la constancia de inscripción en el RFC.
• Constancia sobre el beneficiario controlador: acredita que le preguntaste al cliente si tiene conocimiento de la existencia de un beneficiario controlador, firmada por el cliente de forma autógrafa o con firma electrónica.
• Carta poder o copia certificada del poder, si la persona actúa como apoderado de otra, con la identificación y el comprobante de domicilio del apoderado.

Si la identificación tiene tachaduras o enmendaduras, recaba otro medio de identificación o, en su defecto, dos referencias bancarias o comerciales y dos personales con nombre, domicilio y teléfono, y verifícalas antes de realizar la operación (artículo 12 de las Reglas).

Persona física extranjera visitante (Anexo 5)

Aplica a la persona física extranjera con condición de estancia de visitante o cualquier otra distinta de la residencia temporal o permanente. Los datos son prácticamente los mismos del Anexo 3, salvo que no se piden CURP, RFC, teléfono ni correo, ni la constancia de la CURP o la Cédula de Identificación Fiscal.

• Identificación: pasaporte o documento oficial original del país de origen que acredite su nacionalidad, vigente o con vencimiento no mayor a dos años, con fotografía, firma y, en su caso, domicilio.
• Documento del Instituto Nacional de Migración que acredite su internación o legal estancia, cuando cuente con él.
• Domicilio de su lugar de residencia: en las fracciones II (salvo tarjetas prepagadas e instrumentos de valor monetario), IV, V, V Bis, VIII, IX, X, XI, XII y XV del artículo 17 de la Ley, comprobante de domicilio cuando el manifestado no coincida con la identificación o esta no lo tenga. En las fracciones I, II (salvo tarjetas de crédito o de servicios), III, VI, VII, XIII, XIV y XVI basta una constancia firmada por el cliente en la que manifieste su domicilio.
• Constancia sobre el beneficiario controlador y, en su caso, carta poder, igual que en el Anexo 3.

Ejemplo: un turista que compra joyas (fracción VI) basta con que firme una constancia con su domicilio en su país; si el mismo turista renta un inmueble (fracción XV), hay que recabar el comprobante de domicilio cuando el de su identificación no coincida o no lo tenga (Anexo 5, inciso b, numeral iii).

Persona moral mexicana (Anexos 4 y 4 Bis)

Datos: denominación o razón social; fecha de constitución; país de nacionalidad; actividad, giro u objeto social (cuando se establece una relación de negocios); domicilio completo; teléfono, cuando lo tenga; correo electrónico, en su caso; RFC, cuando cuente con él; y nombre, fecha de nacimiento y RFC o CURP del representante, apoderados o personas que realicen la operación a nombre de la persona moral, con los datos de su identificación.

Documentos:

• Testimonio o copia certificada del instrumento público que acredite su constitución e inscripción en el registro público que corresponda o, según su naturaleza, del documento que acredite su existencia. Si la sociedad es de reciente constitución y no está inscrita, un escrito firmado por persona facultada en el que conste la obligación de inscribirla y de entregar después los datos.
• Cédula de Identificación Fiscal, en caso de contar con ella.
• Comprobante de domicilio con las mismas opciones del Anexo 3. En persona moral se pide siempre, no solo cuando el domicilio no coincide.
• Poderes del representante o apoderados, cuando no estén en el acta constitutiva, y la identificación de cada uno, con las mismas reglas de la identificación del Anexo 3, incluida la exclusión de la cédula profesional.
• Identificación del beneficiario controlador, conforme al artículo 12, fracción VII, segundo párrafo, de las Reglas.

Si el cliente es una persona moral mexicana de derecho público, como un organismo o una dependencia, se usa el Anexo 4 Bis: documento que acredite su existencia legal, Cédula de Identificación Fiscal en su caso, comprobante de domicilio, y el documento que compruebe las facultades de los servidores públicos que realizan la operación, con su identificación.

Persona moral extranjera, embajadas y organismos internacionales (Anexos 6 y 6 Bis)

La persona moral extranjera (Anexo 6) sigue el esquema del Anexo 4 con estas diferencias:

• En lugar del RFC puede asentarse el número de identificación fiscal de su país, y en lugar de la Cédula de Identificación Fiscal, el comprobante de asignación de ese número, cuando cuente con alguno.
• Se recaba el documento que compruebe su constitución.
• Si un representante extranjero no tiene pasaporte, su identificación debe ser un documento oficial original de su país de origen, vigente o con vencimiento no mayor a dos años, con fotografía y firma; valen la licencia de conducir y las credenciales emitidas por autoridades federales de ese país.

Para embajadas, consulados y organismos internacionales acreditados en México (Anexo 6 Bis), el documento base es el que compruebe su constitución, representación o establecimiento en el país, como el certificado de matrícula consular, junto con el comprobante de domicilio, los documentos de representación e identificación de quien actúa a su nombre y, si cuenta con alguno, la Cédula de Identificación Fiscal o el comprobante de asignación del número de identificación fiscal.

Fideicomiso como cliente (Anexo 8)

Datos: denominación o razón social del fiduciario; número, referencia o identificador del fideicomiso; RFC del fideicomiso, cuando cuente con él; y nombre, fecha de nacimiento y RFC o CURP del apoderado legal o delegado fiduciario que pueda obligar al fideicomiso en la operación, con los datos de su identificación.

Documentos: testimonio o copia certificada del contrato de fideicomiso; Cédula de Identificación Fiscal del fideicomiso, en su caso; poderes del apoderado o delegado fiduciario cuando no estén en el contrato, con su identificación; e identificación del beneficiario controlador del fideicomiso. Si tu actividad es con fideicomisos, revisa también la guía de obligaciones PLD de los fideicomisos.

Beneficiario controlador en el expediente

Lo que se recaba del beneficiario controlador depende del tipo de cliente (artículo 12, fracción VII, de las Reglas):

• Cliente persona física: la constancia firmada sobre si conoce a un beneficiario controlador. Si dice que sí y cuenta con la información, se asientan y recaban del beneficiario los mismos datos y documentos del anexo que le corresponda (3, 4, 5, 6 u 8).
• Cliente persona moral o fideicomiso: en todos los casos se recaban del beneficiario controlador su nombre y apellidos, fecha de nacimiento, país de nacionalidad y, cuando cuente con ellas, su CURP y su RFC (numerales i, ii, iv y ix del inciso a del Anexo 3).

Para los actos u operaciones a partir del 1 de marzo de 2027 (transitorio cuarto del Acuerdo 115/2026), no es obligatorio recabar los datos del beneficiario controlador en dos casos: cuando el cliente es una persona moral o fideicomiso que cotiza en una bolsa de valores mexicana o en un mercado de valores del exterior reconocido en la legislación mexicana y proporciona su clave de pizarra, referencia o identificador; y cuando es una persona moral de los Anexos 4 Bis, 6 Bis, 7-A o 7 Bis-A (artículo 23 Quinquies 2 de las Reglas). Entre el 30 de noviembre de 2026 y el 28 de febrero de 2027 estas excepciones no aplican.

Si tienes indicios o hechos de que un cliente actúa por cuenta de otra persona sin haberlo declarado, debes pedirle información para identificar al beneficiario controlador (artículo 22 de las Reglas). Cómo se determina quién es el beneficiario controlador está en la guía de beneficiario controlador.

Clientes de bajo riesgo: medidas simplificadas

El artículo 17 de las Reglas permite que, con los clientes clasificados como de bajo riesgo, el expediente se integre solo con los datos de los Anexos 3, 4, 4 Bis, 5, 6, 6 Bis, 7 Bis u 8, según el tipo de cliente, y los de identificación de su representante o apoderados, sin copia de los documentos. Hay tres condiciones:

• El cliente debe presentar en original o copia certificada los documentos de los que se desprenden esos datos, antes o al momento de la operación.
• Tu Manual de Políticas Internas debe establecer los criterios con los que consideras a un cliente de bajo riesgo.
• Si el cliente deja de cumplir esos criterios, integras el expediente completo. Un cliente de riesgo medio lleva el expediente completo del artículo 12 (artículo 17 Bis).

Las entidades del Anexo 7-A (bancos, casas de bolsa, aseguradoras, SOFOM y otras entidades financieras, emisoras de valores inscritas en el Registro Nacional de Valores y dependencias públicas, entre otras) pueden identificarse con los datos del Anexo 7 cuando están clasificadas como de bajo riesgo; es optativo («podrán»). Las dependencias del Anexo 7 Bis-A, en cambio, se identifican siempre con los datos del Anexo 7 Bis («deberán») (artículo 12, fracciones V y V Bis).

Ojo con dos precisiones. Primero, el artículo 15 del Reglamento, reformado el 27 de marzo de 2026, plantea las medidas simplificadas en función del bajo riesgo de quien realiza la actividad vulnerable, según su evaluación de riesgos (artículo 18, fracción VII, de la Ley), y las describe como sustituir la copia de la identificación oficial por el resguardo de sus datos; las Reglas, en cambio, atienden al riesgo del cliente. Mientras la autoridad no aclare cómo se combinan, documenta en tu Manual de Políticas Internas ambos análisis: tu evaluación de riesgos y la clasificación del cliente.

Segundo, a partir del 30 de noviembre de 2026 el artículo 17 se refiere a los clientes clasificados como de bajo riesgo conforme al Capítulo III Bis, y el Manual debe incluir lo previsto en los Capítulos III Bis y III Ter. Esos capítulos se observan para los actos u operaciones realizados a partir del 1 de marzo de 2027 (transitorio cuarto del Acuerdo 115/2026); el Acuerdo no prevé una regla expresa para el periodo intermedio. El detalle de esa clasificación está en la guía de matriz de riesgo PLD.

Casos especiales del expediente

• Grupo empresarial: el expediente puede integrarlo y conservarlo otra empresa del mismo grupo, con el consentimiento expreso del cliente, un convenio entre las empresas y siempre que la empresa que lo conserve aplique los criterios de identificación de todas las actividades vulnerables del grupo (artículo 14 de las Reglas).
• Trabajadores del cliente: si a solicitud de un cliente con relación de negocios realizas operaciones a nombre de sus trabajadores, el cliente puede integrar y conservar esos expedientes durante la relación laboral, con un convenio por escrito (artículo 16).
• Beneficiarios designados: se les piden los mismos documentos que a los clientes cuando se presentan a ejercer sus derechos (artículo 15).
• Notarios y corredores públicos: identifican a quien solicita materialmente la protocolización o formalización, y cumplen con el expediente si la información y la documentación se incorporan a su protocolo, pólizas o libros de registro, siempre que respeten el plazo de conservación (artículo 13).
• Servicios profesionales (fracción XI): quien prepara una operación para el cliente puede integrar el expediente solo con los datos de los anexos, sin copias (artículo 12 Bis). Ver la guía de servicios profesionales.

Del expediente al aviso: datos que pide el formato 2027

Lo que se recaba en el expediente es lo que después se reporta. A partir del 1 de junio de 2027, los formatos de avisos piden de la persona objeto del aviso, entre otros datos: nombre y apellidos, fecha de nacimiento, RFC, CURP, país de nacionalidad y actividad económica u ocupación; de la persona moral, también su naturaleza jurídica y tipo; el domicilio, el teléfono y, de forma opcional, el correo; y del beneficiario controlador, su nombre, fecha de nacimiento, RFC y CURP, y cuántas figuras jurídicas hay antes de llegar a él.

Varios datos que el formato pide no los exigen los anexos en todos los casos: la actividad u ocupación (solo con relación de negocios), la CURP y el RFC (cuando el cliente cuente con ellas; el Anexo 5 no los pide), la naturaleza jurídica y el tipo de la persona moral, y el número de figuras jurídicas hasta el beneficiario controlador. Conviene recabarlos al integrar el expediente para no tener que buscarlos al presentar el aviso. Los campos varían por formato: revisa el de tu actividad. Cómo se llena cada campo lo indican los instructivos que la UIF publica en el portal SPPLD; el detalle de los formatos está en la guía de formatos de avisos de actividades vulnerables y el de los avisos en la de avisos PLD.

¿Qué cambia el 30 de noviembre de 2026?

El Acuerdo 115/2026 reformó el artículo 12 y los anexos de identificación. Los cambios que más se notan en el expediente:

• La cédula profesional deja de valer como identificación, del cliente y de sus representantes y apoderados.
• Constancia de la CURP: ya no es necesaria si la clave aparece en otro documento o identificación oficial.
• Constancia sobre el beneficiario controlador (antes «dueño beneficiario»): puede firmarse de forma autógrafa o con firma electrónica.
• Beneficiario controlador de personas morales y fideicomisos: se recaban en todos los casos su nombre, fecha de nacimiento, país de nacionalidad y, cuando cuente con ellas, su CURP y su RFC. Antes, en persona moral solo se pedía la constancia sobre el dueño beneficiario.
• Archivo único, físico o electrónico: antes las Reglas hablaban solo de un archivo físico único. Ahora admiten expresamente el archivo electrónico, y el expediente incluye también los registros que permitan reconstruir cada operación, la correspondencia comercial y los resultados de los análisis previos, todo dentro de un mismo archivo.
• Verificación anual: existe desde 2013 para los clientes con relación de negocios; a partir del 30 de noviembre de 2026 el artículo 21 agrega la frase sobre el documento que compruebe el domicilio y su antigüedad no mayor a tres meses conforme a los anexos.
• Fideicomiso: el Anexo 8 incorpora la identificación del beneficiario controlador del fideicomiso.
• Riesgo medio: el nuevo artículo 17 Bis dispone que el cliente clasificado como de riesgo medio conforme a los Capítulos III Bis y III Ter lleva el expediente completo del artículo 12; esa clasificación se aplica a partir del 1 de marzo de 2027.

El calendario completo de la reforma está en la guía de Reglas de Carácter General de la Ley Antilavado.

¿Cuánto tiempo se conserva y qué pasa si falta?

La información y documentación que identifica a los clientes se conserva, de manera física o electrónica, en el domicilio registrado ante la Secretaría (salvo en la fracción XIV), por al menos diez años contados a partir de la fecha de realización de la actividad vulnerable; si se promovió un recurso o juicio, el plazo se interrumpe (artículo 18, fracción IV, de la Ley). Incumplir cualquiera de las obligaciones del artículo 18, como integrar el expediente, se sanciona con multa de 200 a 2,000 UMA (artículos 53, fracción II, y 54, fracción I, de la Ley). Los montos en pesos están en la guía de multas de la Ley Antilavado.

Checklist del expediente por tipo de cliente

• Persona física mexicana o residente: datos del Anexo 3 · identificación (no cédula profesional) · CURP o Cédula de Identificación Fiscal, si las tiene · comprobante de domicilio solo si no coincide · constancia sobre beneficiario controlador firmada · poder, si actúa un apoderado.
• Persona física extranjera visitante: datos del Anexo 5 · pasaporte o identificación de su país · documento migratorio, si lo tiene · comprobante o constancia de domicilio según la fracción · constancia sobre beneficiario controlador.
• Persona moral mexicana: datos del Anexo 4 · acta constitutiva inscrita · Cédula de Identificación Fiscal · comprobante de domicilio · poderes e identificación de representantes · datos del beneficiario controlador.
• Persona moral extranjera: datos del Anexo 6 · documento de constitución · Cédula de Identificación Fiscal o comprobante de asignación del número de identificación fiscal de su país, si cuenta con alguno · comprobante de domicilio · poderes e identificación de representantes · datos del beneficiario controlador.
• Fideicomiso: datos del Anexo 8 · contrato de fideicomiso · Cédula de Identificación Fiscal, si la tiene · poderes e identificación del delegado fiduciario · datos del beneficiario controlador.
• En todos los casos: copias legibles cotejadas contra el original · un solo archivo por cliente · verificación anual si hay relación de negocios · conservación por diez años.

Fuentes oficiales

• Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, artículos 18, fracciones I a IV, 21, 53 y 54 (última reforma DOF 16 de julio de 2025).
• Reglamento de la Ley, artículo 15 (reforma DOF 27 de marzo de 2026).
• Reglas de Carácter General, artículos 11 a 23 y Anexos 3 a 8 (DOF 23 de agosto de 2013, modificadas el 24 de julio de 2014 y por el Acuerdo 115/2026, DOF 7 de agosto de 2026, en vigor el 30 de noviembre de 2026).
• Resolución de formatos de avisos e informes (DOF 24 de septiembre de 2026, en vigor el 1 de junio de 2027).