Cómo elegir el mejor software PLD en México: criterios, checklist y RFP

Elegir un software de prevención de lavado de dinero (PLD) en México no es comparar precios: es decidir a quién le vas a confiar los expedientes y los datos de todos tus clientes durante los próximos años. Esta guía te da un método —criterios, un checklist y una plantilla de solicitud de propuesta (RFP)— para tomar esa decisión sin equivocarte, sea que operes como Actividad Vulnerable o como entidad financiera.

¿Qué es un software PLD y por qué la elección importa tanto?

Un software PLD automatiza las obligaciones de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) y, en el sector financiero, del Art. 95 Bis de la LGOAAC y las disposiciones de carácter general (DCG) aplicables: identificación de clientes (KYC), integración de expedientes, cotejo contra listas, monitoreo de operaciones y generación de avisos e informes a la autoridad.

La decisión pesa por dos razones. Primero, el software custodia datos personales de tus clientes durante todo el periodo de conservación (10 años en el régimen de Actividades Vulnerables). Segundo, un aviso mal presentado o fuera de tiempo tiene costo: el Art. 54 Fr. III de la LFPIORPI sanciona la omisión de avisos con multa de 10,000 a 65,000 UMA, o del 10% al 100% del valor del acto u operación cuando sea cuantificable en dinero, la cantidad que resulte mayor (con UMA 2026 de $117.31, el piso en UMA equivale a $1,173,100). Elegir una herramienta que sostenga el cumplimiento mes a mes no es un lujo: es control de ese riesgo.

Los dos regímenes PLD de México: identifica el tuyo primero

Antes de comparar cualquier software, ubica bajo qué régimen estás. Determina qué obligaciones te aplican y, por tanto, qué debe cubrir la herramienta.

Una advertencia importante: el sector financiero no es homogéneo. Cada tipo de entidad tiene su propia ley, sus disposiciones, sus formatos y su canal de envío. Antes de exigirle a un software "cobertura del sector financiero", identifica exactamente qué entidad eres y qué reportes te corresponden.

Las obligaciones que la reforma reforzó (y que el software debe sostener)

Dos cambios normativos recientes elevaron el estándar. Conviene distinguirlos porque no son lo mismo:

Reforma legal de julio de 2025 (DOF 16/07/2025): cinco obligaciones estructurales

La reforma a la LFPIORPI incorporó al Art. 18 (fracciones VII a XI) cinco obligaciones cuya exigibilidad quedó sujeta a las Reglas de Carácter General (RCG):

• Evaluación de riesgos con enfoque basado en riesgos (EBR).
• Manual de políticas y procedimientos internos.
• Capacitación anual acreditable.
• Mecanismos automatizados de monitoreo de operaciones.
• Auditoría interna o externa.

Reforma al Reglamento de marzo de 2026 (DOF 27/03/2026): reglas operativas

El Reglamento reformado desarrolló figuras operativas —entre ellas la consulta de personas políticamente expuestas (PEPs) a la UIF, el aviso en 24 horas por operaciones intentadas y el procedimiento de autocorrección— que el software debe poder ejecutar en la práctica.

Al evaluar cualquier herramienta, pregunta cómo cubre cada una de estas obligaciones: no basta con que "genere avisos"; debe soportar el enfoque basado en riesgos, el monitoreo automatizado y la evidencia para auditoría.

¿Qué debe evaluar según su régimen PLD?

La evaluación tiene una parte común a todos y una parte que depende de tu régimen. Empieza por el filtro común; después aplica solo la rama que te corresponde.

Criterios comunes para cualquier comprador

Aplican sin importar el régimen, porque tienen que ver con confiar información crítica a un tercero y con que la operación se sostenga en el tiempo:

• Seguridad de la información (filtro eliminatorio) — ver la sección siguiente.
• Continuidad operativa: respaldos, disponibilidad y qué pasa con tus datos si terminas el contrato.
• Trazabilidad: que cada expediente, aviso y decisión quede documentado y recuperable ante un requerimiento de la autoridad.
• Soporte especializado en la normativa mexicana, no genérico.
• Implementación: tiempo real de puesta en marcha y migración desde tu sistema actual (hojas de cálculo u otro software).
• Integraciones con tus sistemas (si las necesitas).
• Costo total de propiedad, no solo la mensualidad.

Si realizas Actividades Vulnerables

Verifica que el software cubra tu fracción concreta del Art. 17 y su operación específica:

• Integración del expediente único de identificación y del beneficiario controlador (participación mayor al 25%).
• Cálculo de umbrales de identificación y de aviso de tu actividad, y acumulación de operaciones cuando aplique.
• Generación y presentación de avisos por el portal SPPLD a más tardar el día 17 del mes siguiente, e informes en cero cuando no haya operaciones.
• Soporte documental para la trazabilidad que la autoridad puede requerir (ver más abajo).

Si eres una entidad financiera

Primero identifica el tipo exacto de entidad; de ahí se derivan tu ley especial, tus disposiciones de carácter general, tus reportes, formatos y canal de envío. Solo entonces verifica que el software genere exactamente esos reportes en el formato y canal que te corresponden. No asumas que un software que "sirve para el sector financiero" cubre tu caso: pídele evidencia de que soporta tu entidad específica.

Si tu organización opera bajo ambos regímenes

Un grupo con Actividad Vulnerable y entidad financiera —o un despacho que administra varios sujetos obligados— necesita además: cobertura de los dos regímenes, separación de reglas y expedientes por régimen, calendarios y canales de reporte distintos, administración centralizada y trazabilidad diferenciada. Aquí la cobertura dual sí es un criterio relevante; para un sujeto de un solo régimen, no.

Seguridad de la información: el primer filtro (criterio eliminatorio)

Antes de comparar funciones, resuelve una pregunta de compra: si dos soluciones cubren tus necesidades, ¿a cuál le confiarías los expedientes y datos de tus clientes: a la empresa cuyo sistema de seguridad fue auditado y certificado de forma independiente, o a la que solo afirma ser segura?

Por eso proponemos tratar la certificación ISO/IEC 27001 vigente como criterio eliminatorio: sin ella, el proveedor no avanza a la comparación funcional. Es un requisito de selección que tú adoptas para reducir el riesgo de confiar información crítica a un tercero —no una obligación que la ley imponga al proveedor—.

Cómo verificarlo (aplícalo igual a todos los proveedores, incluidos nosotros):

• Pide el certificado y comprueba que esté vigente y en versión actual (ISO/IEC 27001:2022).
• Revisa el alcance: que comprenda la organización, la infraestructura y el servicio SaaS que procesarán tus datos —no un alcance parcial ajeno al producto—.
• Valida el organismo certificador que la emitió.

Dos precisiones honestas para que uses este criterio con rigor:

• La certificación es evidencia independiente de que existe un sistema de gestión de seguridad de la información auditado dentro de un alcance; no certifica por sí sola el cumplimiento integral de la LFPDPPP, la LFPIORPI ni de todas las DCG. Es una señal fuerte, no un sello universal.
• Tus expedientes contienen datos personales y, según la operación y la funcionalidad, datos sensibles o biométricos. La LFPDPPP obliga a resguardarlos con medidas de seguridad y contempla sanciones que aumentan cuando se trata de datos sensibles; no hay una multa fija automática, sino rangos con agravantes.

La matriz de evaluación por perfil de comprador

Usa esta matriz para comparar dos o más soluciones con la misma vara. Primero clasifícate; después pondera. Los pesos suman 100 dentro de cada perfil, y un criterio que no te aplica se marca "no aplica" sin penalizar al proveedor.

Checklist de cumplimiento para auditar a cualquier proveedor

Marca cada punto durante la demo. Si un proveedor no puede demostrarlo, es una señal:

• ☐ Certificado ISO/IEC 27001 vigente, con alcance sobre el servicio SaaS.
• ☐ Demo de tu fracción del Art. 17 o de tu tipo de entidad financiera (no genérica).
• ☐ Integración de expediente único y beneficiario controlador (>25%).
• ☐ Cálculo de umbrales de identificación/aviso y acumulación de tu actividad.
• ☐ Generación del aviso/reporte en el formato real y envío al canal que te aplica.
• ☐ Cotejo de listas y monitoreo con enfoque basado en riesgos.
• ☐ Soporte de las obligaciones de la reforma 2025 (EBR, manual, capacitación, monitoreo, auditoría).
• ☐ Trazabilidad: reconstrucción de un expediente y su historial ante un requerimiento.
• ☐ Plan de migración desde tu sistema actual y salida de datos al terminar el contrato.
• ☐ Costo total claro (licencia + implementación + soporte + actualizaciones).

Trazabilidad documental: por qué es el punto que más se descuida

La autoridad no solo revisa que presentaras avisos; puede requerir la documentación que los sustenta. La LFPIORPI faculta esa revisión: el Art. 18 fija las obligaciones documentales, el Art. 24 el soporte de los avisos y el Art. 25 la facultad de la autoridad para requerir documentación, información, datos e imágenes de soporte. Un expediente incompleto —un contrato sin fecha cierta, un pago sin comprobante, una excepción aplicada sin fundamento documentado— convierte una operación que creías resuelta en un hallazgo.

Por eso, al evaluar un software, comprueba que permita documentar y recuperar contratos, pagos, expedientes y el fundamento de cualquier excepción aplicada. La herramienta no elimina el riesgo jurídico —eso depende de cómo operes—, pero sí es la diferencia entre reconstruir un expediente en minutos o no poder acreditarlo cuando llega la visita.

Qué pasa si no cumples: el costo real

Con UMA 2026 de $117.31, esos rangos van de $23,462 hasta cifras que dependen del valor de las operaciones. La regla del Art. 54 Fr. III es clave: para el aviso omitido, la multa no está topada en 65,000 UMA si el porcentaje del valor de la operación resulta mayor. Por eso el objetivo no es "pagar la mínima", sino no llegar ahí.

Cómo responde KYC SYSTEMS a estos criterios

Aplicamos aquí la misma matriz, con evidencia verificable y sin superlativos:

• Seguridad (filtro eliminatorio): KYC SYSTEMS cuenta con certificación ISO/IEC 27001:2022 (certificado 2026CRI-446, vigente a 2029). Puedes pedirnos el certificado, su alcance y el organismo, y verificarlo como lo harías con cualquier proveedor.
• Cobertura de régimen: operamos los dos regímenes —Actividades Vulnerables (LFPIORPI) y sector financiero (Art. 95 Bis LGOAAC y disposiciones aplicables)—, útil sobre todo para grupos duales y despachos que administran varios sujetos obligados.
• Operación: expediente único, beneficiario controlador, umbrales y acumulación, cotejo de listas, monitoreo con enfoque basado en riesgos, generación de avisos y trazabilidad documental para requerimientos.

Si dos opciones te cubren, evalúanos con la misma metodología de esta guía y pídenos evidencia de cumplimiento punto por punto.

Preguntas frecuentes

¿Cómo comparo dos software PLD sin sesgo?

Clasifícate por régimen, define criterios eliminatorios (seguridad y cobertura de tu régimen) y ponderados (avisos, monitoreo, trazabilidad, soporte, costo), asigna pesos que sumen 100 según tu perfil y pide a cada proveedor demostrar cada punto. La matriz descargable de esta guía te da la estructura.

¿Qué criterios deberían ser eliminatorios?

Dos: la certificación ISO/IEC 27001 vigente con alcance sobre el servicio, y la cobertura del régimen que te aplica. Si un proveedor no cumple alguno, no avanza a la comparación funcional.

¿La ley me obliga a contratar un proveedor certificado en ISO 27001?

No. La LFPDPPP obliga a proteger los datos con medidas de seguridad, pero no ordena contratar un proveedor certificado. La certificación es un requisito de selección que tú adoptas como evidencia independiente para reducir riesgo.

¿Cuánto cuesta un software PLD en México?

Depende del régimen, el número de sujetos obligados y el volumen de operaciones. Al comparar, mide el costo total de propiedad —licencia, implementación, soporte y actualizaciones— y no solo la mensualidad.

¿Qué pasa si presento un aviso fuera de tiempo?

Un retraso de hasta 30 días se sanciona con 200–2,000 UMA; más de 30 días, con 2,000–10,000 UMA por aviso; y la omisión con 10,000–65,000 UMA o del 10% al 100% del valor de la operación, la que resulte mayor (Art. 54 Fr. III LFPIORPI).