Sistema Automatizado Antilavado: Guía LFPIORPI 2026
Sistema automatizado antilavado (Art. 18 Fr. X LFPIORPI): 6 funciones del art. 41 RCG, plazo 1-jun-2027, controles de envío y si una hoja de cálculo cumple.
¿Qué es el sistema automatizado antilavado que exige la LFPIORPI?
El sistema automatizado antilavado (o sistema automatizado PLD) es el conjunto de mecanismos automatizados que el artículo 18, fracción X de la LFPIORPI exige a quienes realizan Actividades Vulnerables. El artículo 41 de las Reglas de Carácter General fija sus seis funciones mínimas, exigibles a más tardar el 1 de junio de 2027.
El 16 de julio de 2025 marcó un antes y un después para los sujetos obligados en México. Las reformas a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) introdujeron una obligación novedosa: la implementación de mecanismos automatizados o un sistema automatizado antilavado para cumplir con las responsabilidades de prevención.
Actualización 28/03/2026: La reforma al Reglamento LFPIORPI (DOF 27/03/2026) refuerza la necesidad del sistema automatizado: acumulación en periodos de 6 meses (Art. 7), auditorías con dictamen (Art. 12 Bis), PEPs (Cap. Sexto Bis) y monitoreo de límites de efectivo con IVA incluido (Art. 6).
Esta nueva obligación, establecida en la fracción X del artículo 18 de la LFPIORPI, busca equiparar a los sujetos obligados con los estándares que ya manejan las entidades financieras. Esos "cómos" ya se publicaron: el Acuerdo 115/2026 (DOF 7 de agosto de 2026) reformó las reglas de carácter general y, en su artículo 41, fijó las funciones obligatorias del sistema automatizado, exigibles a más tardar el 1 de junio de 2027 (Transitorio Noveno). Conviene iniciar la preparación de inmediato.
⚠️ Dato clave: El término "mecanismos automatizados" en plural permite tener varias soluciones, y no necesariamente implica la compra de un único software costoso, especialmente para las Pequeñas y Medianas Empresas (PyMEs) o aquellas con pocas operaciones.
A continuación, te presentamos una guía estructurada en 5 pasos para implementar efectivamente un sistema automatizado antilavado y cumplir con la LFPIORPI.
Paso 1: elaboración y documentación del Enfoque Basado en Riesgo (EBR)
Antes de seleccionar cualquier tecnología, el sujeto obligado debe entender y documentar sus riesgos inherentes.
1.1 Diagnóstico del riesgo
Se debe llevar a cabo una evaluación exhaustiva con un Enfoque Basado en Riesgos (EBR), según lo establece la fracción VII del artículo 18. Este EBR debe permitir identificar, analizar, entender y mitigar los riesgos propios de la actividad vulnerable, así como los de los clientes o usuarios.
1.2 Medición del riesgo
El EBR implica calificar el grado de riesgo de la actividad vulnerable y de los clientes. La metodología debe estar hecha a la medida de la entidad, no basarse en una evaluación genérica del sector.
✦ Punto importante: El EBR no es una "fotografía" estática, sino una herramienta dinámica que debe actualizarse continuamente, al menos anualmente, para reflejar nuevos riesgos.
1.3 Actualización del Manual PLD/FT
El manual de políticas internas debe ser elaborado y observado (fracción VIII del artículo 18). Este documento debe incluir:
- El Enfoque Basado en Riesgo documentado
- La metodología para identificar y dar seguimiento a las Personas Políticamente Expuestas (PEPS)
- Los criterios, medidas y procedimientos necesarios para el cumplimiento
Plataformas especializadas como KYC SYSTEMS facilitan la documentación y aplicación del EBR mediante matrices de riesgo automatizadas que se ajustan a las características específicas de cada empresa.
Paso 2: definición de las funcionalidades y requerimientos técnicos
El sistema automatizado no es un fin en sí mismo, sino una herramienta para cumplir con funciones específicas establecidas por la ley. Los requerimientos mínimos de funcionalidad que el mecanismo o software debe cumplir son:
| Funcionalidad requerida | Descripción técnica |
|---|---|
| Monitoreo permanente y perfil transaccional | Monitoreo permanente de operaciones para identificar aquellas que no se encuentren dentro del perfil transaccional del cliente (monto, número, frecuencia, tipo, naturaleza, origen y destino) |
| Seguimiento a PEPS y alto riesgo | Seguimiento intensificado a clientes PEPS o de alto riesgo. Requiere base de datos especializada para PEPS |
| Búsqueda en listas restrictivas | Verificación del cliente y del beneficiario controlador contra las listas que difunde la UIF conforme al art. 38 de las Reglas (emitidas por autoridades nacionales, organismos internacionales o autoridades de otros países) y alertas por países de régimen fiscal preferente o con medidas deficientes (art. 41 Fr. V). Cruzar además el 69-B del CFF es una buena práctica, no una obligación de la fracción X. |
| Acumulación de operaciones | Capacidad de acumular operaciones que superen el umbral de identificación en periodos de hasta seis meses |
Estos requerimientos técnicos son obligatorios y cualquier mecanismo automatizado que se implemente, sea un software antilavado especializado o un proceso automatizado apoyado en hojas de cálculo, debe cumplir con estas funcionalidades mínimas.
Las 6 funciones obligatorias del artículo 41 (Acuerdo 115/2026)
El artículo 41 de las reglas de carácter general reformadas por el Acuerdo 115/2026 (DOF 7 de agosto de 2026) establece que los mecanismos automatizados del Art. 18, fracción X deben ser "razonablemente adecuados al volumen, naturaleza, complejidad… y al Riesgo" del sujeto obligado, y desarrollar al menos seis funciones. Son exigibles a más tardar el 1 de junio de 2027 (Transitorio Noveno).
| Función | Qué exige el artículo 41 |
|---|---|
| I | Conservar, actualizar y permitir la consulta del expediente único de identificación de cada persona cliente o usuaria. |
| II | Agrupar en una base consolidada las operaciones del mismo cliente para monitorearlas contra su perfil transaccional y llevar la acumulación del penúltimo párrafo del artículo 17 de la Ley. |
| III | Proveer la información que se incluirá en la metodología de evaluación de riesgos (Capítulo II Quáter). |
| IV | Ejecutar el modelo de clasificación de grado de riesgo (Capítulo III Bis), conservando los registros históricos del grado de riesgo y del perfil transaccional por un periodo no menor a diez años. |
| V | Ejecutar un sistema de alertas para clientes de grado de riesgo alto, Personas Políticamente Expuestas, personas en la lista del artículo 38 y países con régimen fiscal preferente o con medidas deficientes. |
| VI | Monitorear el uso de efectivo y metales preciosos para el cumplimiento del artículo 32 de la Ley. |
Atención al detalle del Transitorio Noveno: el sistema no solo debe existir el 1 de junio de 2027, sino contener la información de los actos u operaciones realizados a partir de esa fecha. Implementarlo en mayo de 2027 y migrar en agosto deja un hueco que el primer dictamen de auditoría (ejercicio 2028) detectará.
KYC SYSTEMS ejecuta las seis funciones del artículo 41 en una sola plataforma: expediente único, perfil transaccional consolidado, motor de grado de riesgo con históricos a 10 años, alertas de PEP y listas, y monitoreo de efectivo — para que llegues listo al 1 de junio de 2027.
¿El sistema automatizado puede calcular mi riesgo por mí?
No como sustituto de tu metodología. Las Reglas separan dos cosas: la metodología de evaluación de riesgos, que cada sujeto obligado diseña y documenta (art. 10 Septies), y el sistema, que la alimenta y la ejecuta (art. 41, fracciones III y IV). Un puntaje genérico que no derive de tu propia metodología no cumple ninguna de las dos.
| Tarea | Quién la hace | Fundamento |
|---|---|---|
| Diseñar la metodología: elementos, indicadores, método de medición, mitigantes; documentarla en el manual o en un documento referenciado | El sujeto obligado (con o sin asesor) | Arts. 10 Septies y 10 Septies 1 |
| Proveer los datos que entran a la metodología: número de clientes, actos u operaciones y monto operado de al menos doce meses, sin inconsistencias entre ambos | El sistema automatizado | Art. 41 Fr. III; art. 10 Septies 2 Fr. I y II |
| Ejecutar el modelo de clasificación de grado de riesgo de cada cliente y guardar el histórico de cambios diez años | El sistema automatizado, con el modelo que tú definiste | Art. 41 Fr. IV |
| Detectar cambios en el comportamiento o perfil transaccional que puedan ubicarse en los delitos de los arts. 139 Quáter y 400 Bis del Código Penal Federal | El sistema de alertas | Art. 23 Ter 2 |
| Revisar y actualizar la metodología ante nuevos riesgos, cuando cambie la Evaluación Nacional de Riesgos o cada doce meses como máximo | El sujeto obligado, con los resultados que le entrega el sistema | Art. 10 Septies 3 |
Por eso una implementación seria empieza por la metodología y termina en la configuración: los indicadores, pesos y umbrales que definiste se cargan en el motor de riesgo, y el sistema conserva la evidencia de cada cambio. En KYC SYSTEMS el modelo de grado de riesgo se parametriza con la metodología de cada cliente; no se aplica una matriz única a todos los giros.
Paso 3: diseño tecnológico y trazabilidad
Una vez definidos los requerimientos, se selecciona la solución tecnológica, priorizando la capacidad de reconstruir las operaciones.
3.1 Trazabilidad y reconstrucción
El mecanismo debe permitir la reconstrucción de operaciones en lo individual, incluyendo los registros de las operaciones realizadas. Esto implica que se debe garantizar la trazabilidad completa de las operaciones.
3.2 Opción tecnológica flexible
El artículo 41 de las Reglas admite que los mecanismos sean "razonablemente adecuados al volumen, naturaleza, complejidad de los actos u operaciones y al Riesgo" de cada sujeto obligado: la escala cambia, las funciones no. Cualquier solución debe cubrir las seis funciones del artículo 41 y contener la información de los actos u operaciones realizados desde el 1 de junio de 2027 (Transitorio Noveno).
- Bajo volumen: puede bastar una plataforma en la nube con módulos básicos, o incluso un proceso automatizado apoyado en hojas de cálculo o bases de datos: el artículo 3, fracción XI Ter de las Reglas lo admite siempre que sus funciones cumplan con el artículo 41 y sea verificable ante la autoridad competente. Lo difícil es demostrarlo: conservar por lo menos diez años, con trazabilidad, los cambios de grado de riesgo y de perfil transaccional, y alertar sobre las operaciones que se pretendan llevar a cabo con clientes de grado de riesgo alto, Personas Políticamente Expuestas, personas en la lista del artículo 38 o jurisdicciones de riesgo.
- Volumen alto o varias actividades vulnerables: sistema con base consolidada por cliente, motor de riesgo y acumulación automática de los seis meses del artículo 17.
- Con ERP o CRM: integración por API o carga periódica, de modo que la base consolidada del cliente no dependa de capturas manuales.
✅ Ventaja competitiva: Un sistema automatizado antilavado no solo cumple con la obligación legal, sino que reduce significativamente el tiempo de procesamiento de clientes y minimiza errores humanos en la identificación de operaciones sospechosas.
3.3 Seguridad y resguardo
Se debe garantizar la custodia, protección y resguardo de la información y documentación. La ley ahora exige la conservación de expedientes por un plazo de 10 años (antes 5 años). La conservación puede ser física o electrónica.
Paso 4: integración del EBR y generación de alertas
El sistema automatizado es el medio principal para aplicar el EBR en las transacciones diarias.
4.1 Asignación de riesgo automática
El sistema debe calificar al cliente en el momento de la identificación, ubicándolo en una matriz de riesgo (bajo, medio o alto). Los clientes de bajo riesgo pueden beneficiarse de una identificación simplificada.
| Nivel de riesgo | Acciones requeridas |
|---|---|
| Bajo riesgo | Identificación simplificada, monitoreo estándar |
| Riesgo medio | Identificación completa, monitoreo periódico |
| Alto riesgo / PEPS | Debida diligencia reforzada, seguimiento intensificado, aprobación de alta dirección |
4.2 Monitoreo de alertas
El mecanismo debe estar configurado para detectar operaciones que caen fuera del perfil transaccional del cliente (alertas). Si se reconoce una conducta inusitada del cliente (sospecha) o se obtiene información de fuentes públicas o privadas que vincule los recursos con delitos de operaciones con recursos de procedencia ilícita (hechos o indicios), el aviso se presenta dentro de las 24 horas siguientes, aunque la operación no alcance el umbral o no se haya celebrado (art. 18, fracción VI de la Ley; arts. 26 Bis a 26 Bis 2 de las Reglas).
4.3 Integración de datos
Es crucial alimentar el sistema con información consolidada de los clientes y las operaciones. La Ley reformada también exige recabar información que permita la reconstrucción, como:
- Correspondencia comercial (ej. correos electrónicos)
- Resultados de análisis previos
- Documentación del beneficiario controlador
- Historial transaccional completo
¿Qué controles de envío de avisos debe tener el sistema?
Además de detectar, el sistema debe evitar los errores de envío que las Reglas ya no permiten corregir. Cuatro reglas del Acuerdo 115/2026, exigibles desde el 30 de noviembre de 2026, se traducen en validaciones del software: un aviso por cada acto u operación, informe en cero irreversible, avisos de 24 horas por sospecha y por hechos, y consulta diaria del Portal.
| Regla | Validación en el sistema | Artículo RCG |
|---|---|---|
| Un aviso por cada acto u operación que alcance el umbral, en lo individual o por acumulación (salvo gasto mensual de tarjetas y aportaciones a un mismo desarrollo inmobiliario) | Generar un archivo por acto y bloquear el agrupamiento indebido | Art. 24 Bis 1 |
| El informe "sin operaciones" no puede modificarse ni eliminarse una vez enviado | Impedir el informe en cero cuando existan operaciones registradas en el mes o acumulaciones que rebasen el umbral | Art. 25 |
| Aviso dentro de las 24 horas por conducta inusitada del cliente (sospecha) o por información de fuentes públicas o privadas (hechos o indicios), aun sin alcanzar el umbral o sin concretarse la operación | Flujo de aviso urgente con reloj de 24 horas desde la alerta y registro de quién lo decidió | Arts. 26 Bis, 26 Bis 1 y 26 Bis 2 |
| Consultar el Portal al menos una vez cada día hábil; la notificación se tiene por realizada al cuarto día hábil | Recordatorio diario y bitácora de consultas | Art. 6 |
Los avisos de 24 horas se presentan con los nuevos formatos oficiales de avisos (DOF 24 de septiembre de 2026) a partir del 1 de junio de 2027; el sistema debe generar el XML con la estructura vigente en cada fecha.
Paso 5: mantenimiento, capacitación y auditoría anual
El cumplimiento de PLD es un proceso dinámico que requiere observar y actualizar el manual y los sistemas.
5.1 Capacitación y selección de personal
Se deben desarrollar procesos para la selección de personal y adoptar programas de capacitación anuales dirigidos a:
- Órgano de administración
- Directivos
- Representante PLD
- Empleados con relación directa con los clientes
⚠️ Advertencia crítica: Si el personal no está bien entrenado, se corre el riesgo de estar "entrenando a una amenaza potencial para que actúe con mayor inteligencia". La capacitación debe ser continua, relevante y efectiva.
5.2 Auditoría anual obligatoria
Se establece la obligación de contar con una auditoría PLD anual:
- Riesgo bajo o medio: área de auditoría interna independiente del representante de cumplimiento, o auditor externo, a tu elección (art. 44).
- Riesgo alto: forzosamente persona auditora externa independiente con certificación vigente de la UIF (art. 45).
El dictamen evalúa la efectividad de todas las obligaciones, incluido que el sistema automatizado ejecute las seis funciones del artículo 41; el primer ejercicio auditable es 2028 (Transitorio Octavo). Consulta la guía de auditoría PLD para Actividades Vulnerables.
5.3 Actualización continua del sistema
El EBR y, por lo tanto, el sistema automatizado antilavado, deben actualizarse continuamente, al menos anualmente, para:
- Reflejar nuevos riesgos identificados
- Evaluar la eficiencia de los mecanismos implementados
- Incorporar cambios regulatorios
- Mejorar la detección de patrones sospechosos
¿Cómo elegir el sistema automatizado antilavado adecuado?
La selección del software antilavado correcto depende de varios factores clave:
| Factor | Consideraciones |
|---|---|
| Volumen de operaciones | ¿Cuántas operaciones procesas diariamente? ¿Mensualmente? |
| Tipo de actividad vulnerable | El sistema debe adaptarse a las particularidades de tu giro (inmobiliario, metales, juegos, etc.) |
| Integración con sistemas existentes | ¿Tienes un ERP? ¿Necesitas conexión API? |
| Cumplimiento específico LFPIORPI | El sistema debe estar diseñado para regulación mexicana (no solo estándares internacionales) |
| Soporte y actualizaciones | ¿El proveedor actualiza el sistema cuando cambian las reglas del SAT? |
| Costo vs beneficio | Considera no solo el costo del software, sino las multas evitadas y el tiempo ahorrado |
Preguntas frecuentes sobre mecanismos automatizados antilavado
¿Cuándo entra en vigor la obligación de tener un sistema automatizado antilavado?
La obligación fue establecida en las reformas del 16 de julio de 2025 (fracción X del artículo 18 LFPIORPI). Las reglas de carácter general se reformaron mediante el Acuerdo 115/2026 (DOF 7 de agosto de 2026): los mecanismos automatizados del artículo 41 son exigibles a más tardar el 1 de junio de 2027 (Transitorio Noveno), por lo que es recomendable iniciar la implementación de inmediato.
¿Todas las empresas necesitan el mismo tipo de sistema automatizado?
No. El término "mecanismos automatizados" en plural y el artículo 41 de las Reglas admiten soluciones razonablemente adecuadas al volumen, naturaleza, complejidad y riesgo de cada sujeto obligado, pero todas deben cubrir por lo menos las seis funciones del artículo 41: lo que cambia es la escala de la solución, no las funciones. La solución puede ir desde un sistema informático especializado hasta un proceso automatizado apoyado en hojas de cálculo o bases de datos, siempre que cumpla las funciones del artículo 41 y sea verificable ante la autoridad competente (artículo 3, fracción XI Ter de las Reglas).
¿Qué es el Enfoque Basado en Riesgos (EBR)?
El EBR es una metodología que permite identificar, analizar, entender y mitigar los riesgos propios de la actividad vulnerable y de los clientes. Debe estar documentado y ser la base para la configuración del sistema automatizado.
¿Cuánto tiempo debo conservar los expedientes?
La ley reformada ahora exige la conservación de expedientes por un plazo de 10 años (anteriormente eran 5 años). La conservación puede ser física o electrónica.
¿Qué son las PEPS y por qué necesito un seguimiento especial?
Las Personas Políticamente Expuestas (PEPS) son individuos que desempeñan o han desempeñado funciones públicas destacadas. Requieren un seguimiento intensificado debido al mayor riesgo de corrupción o lavado de dinero.
¿Debo presentar avisos al SAT dentro de las 24 horas?
Sí, en dos supuestos: cuando reconoces una conducta inusitada del cliente (sospecha) o cuando información de fuentes públicas o privadas vincula los recursos con delitos de operaciones con recursos de procedencia ilícita (hechos o indicios). El aviso se presenta dentro de las 24 horas siguientes, aun si la operación no alcanza el umbral o no se celebró (art. 18, fracción VI de la Ley; arts. 26 Bis a 26 Bis 2 de las Reglas).
¿La auditoría PLD anual es obligatoria?
Sí. Si tu riesgo es bajo o medio, puede hacerla el área de auditoría interna (independiente del representante de cumplimiento) o un auditor externo; si es alto, debe ser un auditor externo independiente certificado por la UIF (arts. 44 y 45 de las Reglas). El primer ejercicio auditable es 2028 y el dictamen revisa, entre otras obligaciones, que el sistema automatizado funcione conforme al artículo 41.
¿Qué listas restrictivas debo consultar?
Las que difunde la UIF conforme al artículo 38 de las Reglas: listas de autoridades nacionales, organismos internacionales o autoridades de otros países reconocidas oficialmente (por ejemplo, la lista consolidada del Consejo de Seguridad de la ONU; la Lista de Personas Bloqueadas es del sector financiero). El sistema debe alertar también sobre operaciones con países de régimen fiscal preferente o con medidas deficientes (art. 41, fracción V). Consultar listas fiscales como el 69-B es recomendable, pero no sustituye a las anteriores.
¿Una hoja de cálculo cumple como mecanismo automatizado?
Puede cumplir si forma parte de un proceso automatizado. El artículo 3, fracción XI Ter de las Reglas define los mecanismos automatizados como el conjunto de procesos, sistemas o herramientas tecnológicas que permitan revisar de manera continua los actos u operaciones realizados con los clientes, y admite desde sistemas informáticos especializados hasta procesos automatizados apoyados en hojas de cálculo, bases de datos u otros medios equivalentes, siempre que sus funciones cumplan con lo previsto en el artículo 41 y el mecanismo sea verificable ante la autoridad competente. Ese artículo exige por lo menos seis funciones: expediente único consultable, base consolidada por cliente con perfil transaccional y acumulación, insumo a la metodología de riesgos, ejecución del modelo de grado de riesgo con históricos de diez años, sistema de alertas y monitoreo de efectivo y metales preciosos. En la práctica, lo difícil con una hoja de cálculo es demostrar los históricos trazables de diez años y las alertas sobre operaciones que se pretendan llevar a cabo con clientes de riesgo alto, PEP, personas en la lista del artículo 38 o jurisdicciones de riesgo.
¿El sistema automatizado sustituye mi evaluación de riesgos (EBR)?
No. La metodología la diseña y documenta cada sujeto obligado (art. 10 Septies de las Reglas); el sistema provee los datos que entran a ella y ejecuta el modelo de grado de riesgo que tú definiste, conservando el histórico diez años (art. 41, fracciones III y IV). La información de la metodología y la del sistema no pueden tener inconsistencias (art. 10 Septies 2).
Conclusión: el momento de actuar es ahora
La implementación de un sistema automatizado antilavado no es solo una obligación legal, sino una inversión estratégica en la sostenibilidad de tu negocio. Las reformas de julio 2025 a la LFPIORPI equiparan a los sujetos obligados con los estándares de las entidades financieras, elevando significativamente el nivel de cumplimiento requerido.
Los 5 pasos que hemos revisado —desde la elaboración del EBR hasta el mantenimiento continuo y la auditoría anual— representan un camino claro hacia el cumplimiento efectivo. Recuerda que el sistema automatizado no es un fin en sí mismo, sino una herramienta para aplicar tu Enfoque Basado en Riesgos de manera eficiente y escalable.
Las empresas que actúen ahora tendrán una ventaja competitiva significativa:
- Reducción de riesgos de sanciones y multas
- Mayor eficiencia operativa en el alta de clientes
- Mejor protección contra operaciones sospechosas
- Fortalecimiento de la reputación corporativa
¿Listo para implementar tu sistema automatizado antilavado?
KYC SYSTEMS es la plataforma 100% mexicana diseñada específicamente para el cumplimiento de la LFPIORPI. Automatiza tu EBR, monitoreo de PEPS, generación de avisos al SAT y mucho más.
Solicita una demostración gratuita →
¿Tienes dudas? Escríbenos por WhatsApp y un especialista te asesorará
¿Tu empresa ya tiene documentado su Enfoque Basado en Riesgos? ¿Qué desafíos has encontrado en la implementación de mecanismos automatizados?
Déjanos tus comentarios abajo o contáctanos para recibir asesoría personalizada sobre tu caso específico.
Preguntas frecuentes
Isaac Vazquez escribe para el equipo editorial de KYC SYSTEMS, empresa mexicana de software para prevención de lavado de dinero (PLD). El equipo tiene más de 10 años de experiencia en el cumplimiento de la LFPIORPI para actividades vulnerables y de las disposiciones PLD del sector financiero. KYC SYSTEMS cuenta con certificación ISO/IEC 27001:2022 en seguridad de la información.
