Reforma a las Reglas de Carácter General de la Ley Antilavado (LFPIORPI): qué implica y cuándo aplica

Cuándo empieza a aplicar cada bloque

1. 30 nov. 2026Entrada general del Acuerdo.
2. 1 mar. 2027Metodología de Riesgos disponible; Manual de sujetos existentes incorpora metodología; comienzan clasificación de Riesgo, conocimiento del Cliente y Beneficiario Controlador; selección para nuevas contrataciones.
3. 1 jun. 2027Mecanismos automatizados operativos.
4. 30 ago. 2027Consulta PEP 2.0 disponible.
5. 2027Primer periodo anual de capacitación.
6. 2028Primer periodo anual de auditoría; primer dictamen: marzo 2029.
7. Fecha pendienteAvisos por sospecha/hechos/indicios: seis meses después de que entren en vigor los nuevos formatos oficiales.

Objeto y definiciones

Las Reglas tienen dos funciones: (i) fijar las medidas y procedimientos mínimos para prevenir y detectar operaciones con recursos de procedencia ilícita; y (ii) establecer cómo se presentan Avisos e Informes a la UIF por conducto del SAT.

Beneficiario Controlador. Persona física o grupo de personas físicas que, en última instancia, obtiene el beneficio del bien o servicio derivado de la operación o ejerce control efectivo sobre el Cliente persona moral.

Cliente o Usuaria. Persona física o moral, así como fideicomiso, que celebra actos u operaciones con quien realiza Actividades Vulnerables.

Evaluación Nacional de Riesgos. Documento de la UIF que identifica riesgos nacionales y sectoriales y que debe considerarse, cuando resulte aplicable, al diseñar la metodología de Riesgos.

Grado de Riesgo. Clasificación individual asignada a cada Cliente. Como mínimo: bajo, medio y alto.

Mecanismos automatizados. Procesos o herramientas tecnológicas -incluidas hojas de cálculo o bases de datos- que conservan expedientes, consolidan operaciones, ejecutan el modelo de Riesgo y generan alertas.

Mitigantes. Políticas, criterios, medidas y procedimientos que reducen la exposición a los Riesgos identificados.

Perfil transaccional. Comportamiento esperado del Cliente considerando, entre otros, monto, frecuencia, zona geográfica, origen/destino de recursos y actividad económica.

Relación de Negocios. Relación formal y habitual sustentada en un contrato que permanece en el tiempo y permite operaciones sucesivas; no incluye operaciones que se extinguen con su sola ejecución.

Riesgo. Probabilidad de que las Actividades Vulnerables o quienes las realizan sean utilizados para lavado de dinero, delitos relacionados, estructuras financieras de organizaciones delictivas o su financiamiento.

Alta, registro y baja en el padrón

• Alta. Persona física: Anexo 1; persona moral: Anexo 2; fideicomiso: Anexo 2 Bis; otra figura jurídica: Anexo 2 Ter. El trámite se firma con la e.firma del propio sujeto que realiza la Actividad Vulnerable; una persona moral, fideicomiso u otra figura no puede utilizar la e.firma de su representante, fideicomitente o apoderado.
• Portal. El SAT expide el acuse de alta y habilita el Portal para presentar Avisos e Informes y recibir requerimientos, citatorios, solicitudes de información, prevenciones, resoluciones y demás comunicaciones de SAT/UIF.
• Notificaciones. Al firmar el alta se acepta la notificación electrónica. El sujeto tiene tres días hábiles para abrir el documento; si no lo abre, la notificación se tiene por realizada al cuarto día hábil. El Portal debe consultarse al menos una vez cada día hábil.
• Actualización. Cualquier dato del registro que deba eliminarse, modificarse o agregarse debe actualizarse dentro de los seis días hábiles siguientes al hecho que genere el cambio.
• Baja. Si dejan de realizarse Actividades Vulnerables, debe tramitarse la baja. Surte efectos desde la situación jurídica que la motive cuando pueda verificarse; si no, desde la presentación del trámite. Una persona interesada puede solicitar al SAT la baja si acredita que quien efectuó el alta está imposibilitado para hacerlo.
• Verificación por SAT. Puede requerir información, documentos, datos o imágenes del alta o actualizaciones. El plazo para responder es de 10 días hábiles y puede prorrogarse hasta cinco días hábiles. SAT puede contrastar los datos con información de autoridades y otras fuentes.
• Representante Encargado de Cumplimiento. Debe ser persona física y aceptar o rechazar la designación en el Portal con RFC y e.firma. El rechazo no suspende ni elimina las obligaciones del sujeto que realiza la Actividad Vulnerable.

Proveedores de servicios de activos virtuales

• Personas morales. Deben identificar a quienes directa o indirectamente participen o pretendan participar en su capital e informar nombre/razón social, nacionalidad, domicilio, CURP/RFC cuando corresponda, número de acciones, valor nominal y equivalente en pesos. La misma información y soporte se exige respecto del Beneficiario Controlador.
• Canales de operación. Deben informarse el nombre comercial, páginas electrónicas y aplicaciones mediante las cuales se realiza la actividad.
• Representación. Deben entregarse nombre, CURP/RFC, teléfono de 10 dígitos, correo y copia certificada del instrumento que acredite al representante o apoderado.
• Personas físicas. Presentan la documentación específica exigida por las Reglas, además de identificación oficial, CURP y RFC.
• Defectos o inconsistencias. Si la documentación es ilegible, incompleta o incumple requisitos, SAT previene una sola vez y concede cinco días hábiles para subsanar. Si detecta inconsistencias de contenido, también concede cinco días hábiles para aclararlas. Si no se corrigen, se desecha el trámite.
• Conclusión del alta. Cuando SAT confirma por escrito que recibió íntegramente la documentación, ello sólo permite continuar con el alta general; no es una autorización para operar. Desde esa notificación hay 30 días hábiles para concluir el alta o se tendrá por desistido el trámite.

Fideicomisos y otras figuras jurídicas

• Integrantes o miembros. La información se genera en XML mediante la herramienta del Portal, utilizando el Anexo 2 Bis para fideicomisos o el Anexo 2 Ter para otras figuras jurídicas.
• Cambios. La baja de un integrante se realiza mediante el servicio de actualización del Portal; el alta de nuevos integrantes se realiza nuevamente mediante la herramienta XML.
• Correcciones. Para modificar datos de un integrante ya registrado, primero debe darse de baja y después reenviarse toda su información corregida.
• Asociación en Participación. El asociante realiza el alta y registro utilizando la e.firma vinculada al RFC de la propia Asociación en Participación.

Enfoque basado en riesgos

• Metodología obligatoria. Debe identificar, analizar, entender, medir y mitigar los Riesgos derivados de actos u operaciones, Clientes/Usuarios, transacciones, países/áreas geográficas y canales de envío o distribución.
• Dónde se documenta. En el Manual de Políticas Internas o en otro documento expresamente referido por éste. Debe describir todos los procesos y considerar la Evaluación Nacional de Riesgos de la UIF (documento oficial sobre los riesgos nacionales y sectoriales aplicables).
• Elementos e indicadores. Como mínimo: actos u operaciones; tipo de Clientes; países/áreas geográficas; transacciones y canales. Para cada elemento deben existir indicadores que expliquen cómo y en qué medida existe exposición al Riesgo.
• Medición. Debe asignarse un valor a cada indicador y a cada elemento conforme a su importancia para describir el Riesgo. Las Reglas no imponen una escala numérica específica.
• Mitigantes. Deben identificarse los controles existentes -políticas, criterios, medidas y procedimientos- y considerarse su aplicación efectiva. También deben existir indicadores específicos vinculados con financiamiento al terrorismo y operaciones con recursos de procedencia ilícita.
• Datos mínimos. Deben utilizarse, al menos, 12 meses de información sobre número total de Clientes, número de actos u operaciones y monto operado. Si aún no existe ese historial, se utilizan datos proyectados y la metodología se actualiza al completar 12 meses.
• Cambios al negocio. Antes de implementar nuevos medios, canales, modalidades, productos, servicios o nuevos tipos de Clientes debe realizarse una evaluación de Riesgo.
• Riesgos nuevos o mayores. Deben ajustarse políticas y controles para incorporar los Mitigantes necesarios dentro de los 12 meses siguientes a la identificación clara de los resultados que originan el ajuste.
• Revisión y evidencia. Debe actualizarse cuando existan nuevos Riesgos, cambie la Evaluación Nacional de Riesgos o, como máximo, dentro de los 12 meses siguientes a los resultados de implementación. La revisión debe constar por escrito; SAT puede requerir ajustes o un plan de acción. La documentación se conserva al menos 10 años.

Identificación de la persona cliente o usuaria

• Identificación directa. Cada Cliente o Usuario debe ser identificado y conocido directamente. Debe existir un expediente único por Cliente antes o durante la operación o, si existe Relación de Negocios (contrato que permanece en el tiempo y permite operaciones sucesivas), antes o al momento de establecerla.
• Expediente según tipo de Cliente. Persona física mexicana/residente: Anexo 3; persona moral mexicana: Anexo 4; persona moral mexicana de derecho público: Anexo 4 Bis; persona física extranjera visitante/u otra estancia: Anexo 5; persona moral extranjera: Anexo 6; embajada/consulado/organismo internacional: Anexo 6 Bis; fideicomiso: Anexo 8.
• Documentos. Las copias deben ser legibles y cotejarse contra originales o copias certificadas. Si presentan tachaduras o enmendaduras, debe obtenerse otra identificación o, en su defecto, dos referencias bancarias/comerciales y dos personales, verificadas antes de la relación u operación.
• Archivo único. Puede ser físico o electrónico, pero debe concentrar los datos y documentos del Cliente. Puede incluir registros para reconstruir operaciones, correspondencia comercial y análisis previos, y debe estar disponible para UIF/SAT.
• Medidas simplificadas. Sólo aplican a Clientes clasificados como bajo Riesgo conforme al Capítulo III Bis (modelo individual que asigna, como mínimo, niveles bajo, medio y alto) y cuando los criterios estén previstos en el Manual. Si el Cliente deja de cumplirlos, se integra el expediente completo. Riesgo medio: expediente completo.
• Grupos Empresariales. Otra sociedad del mismo Grupo puede integrar y conservar el expediente si existe consentimiento expreso del Cliente y se cumplen las condiciones de intercambio y custodia previstas en las Reglas.
• Operaciones electrónicas. El expediente debe integrarse previamente y deben existir mecanismos de identificación y prevención del uso indebido de la tecnología, documentados en el Manual.
• Seguimiento y acumulación. Determinadas operaciones del mismo Cliente se acumulan durante periodos de hasta seis meses. El seguimiento para Avisos se realiza mediante los mecanismos automatizados del Capítulo XIII (sistema que consolida operaciones, ejecuta el modelo de riesgo y genera alertas).
• Actualización. Al menos una vez al año debe verificarse que los expedientes de Clientes con Relación de Negocios estén completos y actualizados.
• Actuación por cuenta de tercero. Si existen hechos o indicios de que el Cliente actúa por otra persona sin declararlo, debe solicitarse información para identificar al Beneficiario Controlador, aun si existen obligaciones contractuales de confidencialidad. Se prohíben registros bajo nombres ficticios o confidenciales.

Clasificación del grado de riesgo

• Modelo individual. Debe estar incorporado al Manual y utilizar la metodología del Capítulo II Quáter (evaluación general de los Riesgos del sujeto).
• Niveles mínimos. Cada Cliente debe clasificarse, al menos, como bajo, medio o alto Riesgo; pueden existir categorías intermedias adicionales.
• Clasificación inicial y revisión. Se determina inicialmente con la información proporcionada por el Cliente y se reevalúa al menos cada seis meses. A mayor Grado de Riesgo, mayor frecuencia de revisión.
• Factores mínimos. Características inherentes -antecedentes, tipo de persona, fecha de nacimiento/constitución, giro, nacionalidad, residencia, fuentes de ingreso y propósito de la relación- y características transaccionales -tipo, volumen, frecuencia, monto, contrapartes, origen/destino de recursos, instrumento y moneda-.
• PEP mexicanas. Deben existir factores adicionales para determinar si su comportamiento transaccional corresponde con sus ingresos, funciones, nivel y responsabilidad.
• Alto Riesgo obligatorio, como mínimo. PEP extranjeras y determinados no residentes vinculados con jurisdicciones de régimen fiscal preferente o con medidas PLD deficientes. Debe documentarse la razón por la que celebran la operación en México.

Conocimiento de la persona cliente o usuaria

• Política de conocimiento. Debe contener controles de mitigación, procedimientos de monitoreo, reglas para determinar y revisar el Perfil transaccional, supuestos de desviación y criterios para modificar el Grado de Riesgo.
• Perfil transaccional. Se construye con información del Cliente o archivos existentes, monto, número y frecuencia de operaciones, origen y destino de recursos o bienes y demás criterios definidos. Durante los primeros seis meses debe incorporarse la estimación del Cliente sobre los montos máximos mensuales que espera operar.
• Revisión. El Perfil transaccional se revisa al menos cada seis meses cuando exista suficiente historial. En una operación única se integra con la información disponible de esa operación.
• Alertas. Debe existir un sistema que detecte cambios de comportamiento o desviaciones del Perfil transaccional.
• Alto Riesgo. Se requiere información adicional sobre actividad preponderante, monitoreo más estricto y un cuestionario adicional sobre origen/destino de recursos y operaciones realizadas o proyectadas. Puede ser remoto, pero debe llevar Firma Electrónica del suscriptor.
• Medidas reforzadas. Persona física de alto Riesgo: cuando corresponda, información de cónyuge, dependientes económicos y sociedades/asociaciones con vínculos patrimoniales. Persona moral de alto Riesgo: mayor información de principales socios/accionistas y verificación en registros electrónicos de la Secretaría de Economía.
• PEP de alto Riesgo. La operación requiere aprobación de un directivo o equivalente. Si quien realiza la Actividad Vulnerable es persona física, debe documentar los motivos para efectuarla.

Personas políticamente expuestas (PEP)

• PEP. Persona física que desempeña o ha desempeñado funciones públicas relevantes en México o en el extranjero, incluyendo jefes de Estado/gobierno, líderes políticos, altos funcionarios gubernamentales, judiciales o militares, altos ejecutivos de empresas estatales y funcionarios o miembros importantes de partidos políticos u organizaciones internacionales.
• Personas asimiladas. Cónyuge, concubina/concubinario, parientes por consanguinidad o afinidad hasta segundo grado y asociados o socios de personas morales con vínculos patrimoniales.
• Ex-PEP nacional. Conserva el carácter de PEP durante el año siguiente a aquel en que deja el cargo, con la regla adicional prevista para operaciones celebradas dentro del periodo posterior señalado por las Reglas.
• Consulta PEP 2.0. Se accede con la misma e.firma utilizada para el alta. Las autoridades alimentan la aplicación con la información del Anexo 10.

Beneficiario controlador

• Personas morales - orden de identificación. (1) Persona física o grupo con 25% o más del capital, directa o indirectamente; (2) si ello no determina el control, persona física o grupo que ejerza control por otros medios, incluyendo estrategia, toma de decisiones o dirección de políticas; (3) si aún no se identifica, la persona física o grupo que ocupe la posición administrativa de mayor grado o alta dirección.
• Evidencia. Debe documentarse el procedimiento seguido, conservar el soporte y mantenerlo actualizado durante toda la Relación de Negocios.
• Fideicomisos. Debe identificarse a quien ejerza control efectivo mediante facultades para disponer, administrar o dirigir bienes, ordenar distribuciones, modificar/extinguir el fideicomiso, nombrar/remover administradores o imponer decisiones. Si una persona relevante es otra persona moral o estructura, debe seguirse la cadena hasta llegar a la persona física final.
• Momento. Antes de la operación o, a más tardar, al establecer la Relación de Negocios.
• Excepciones. No se recaban los datos completos del Beneficiario Controlador cuando el Cliente sea una emisora/fideicomiso listado en una bolsa reconocida y proporcione su identificador, o se trate de determinadas entidades públicas o sujetas a tratamiento simplificado señaladas en los Anexos 4 Bis, 6 Bis, 7-A o 7 Bis-A.

Avisos e informes

• Presentación. Avisos e Informes se envían electrónicamente a la UIF por conducto del SAT, utilizando RFC, e.firma vigente del propio sujeto y el formato oficial publicado por la UIF. Personas morales, fideicomisos y otras figuras no pueden usar la e.firma de representantes o apoderados.
• Aviso por operación. Debe presentarse un Aviso por cada acto u operación que, individualmente o por acumulación, alcance el umbral o condición legal. La fecha que inicia el plazo depende de la Actividad Vulnerable: por ejemplo, en mutuos/créditos, inmuebles, vehículos, arte y metales/piedras es la fecha de liquidación cuando se alcanza el umbral; en servicios profesionales, la fecha en que el prestador realiza la operación financiera por cuenta del Cliente; en donativos, la fecha de recepción.
• Informe sin operaciones objeto de Aviso. Si en el mes no hubo operaciones reportables debe enviarse el informe correspondiente. Una vez enviado no puede modificarse ni eliminarse; si después se detecta una operación que sí debía reportarse, debe presentarse el Aviso.
• Activos virtuales. Deben conservarse por 10 años datos del originante, receptor y, en su caso, Beneficiario Controlador; país/jurisdicción; cuenta/wallet; fecha/hora; tipo y monto del activo y equivalente en moneda nacional; tipo de operación y comisión. La custodia comprende el control/salvaguarda/administración por cuenta del Cliente; la facilitación/intermediación incluye plataformas que conectan operaciones aunque el proveedor no controle los activos.
• Activos virtuales - umbrales. Operación de 210 UMA diarias o más con contraprestación inferior a 4 UMA: Aviso por monto de operación. Contraprestación de 4 UMA o más con operación inferior a 210 UMA: Aviso por contraprestación. Si ambos supuestos ocurren en la misma operación: un solo Aviso por el supuesto de monto de operación.
• Arrendamiento en copropiedad. Cada copropietario cumple individualmente, pero para determinar el monto se toma la renta mensual total pactada; el Aviso de cada copropietario identifica el pago que recibió.
• Aviso por sospecha. Dentro de las 24 horas siguientes a que el sujeto identifique conducta o comportamiento inusual que pudiera vincularse con ORPI o delitos relacionados. Deben considerarse, como mínimo, monto, frecuencia, forma/periodo/instrumento de pago, área geográfica y naturaleza de la operación.
• Aviso por hechos o indicios. También dentro de 24 horas cuando, a partir de fuentes públicas o privadas, se conozca un hecho relacionado con el Cliente que permita considerar que los recursos pudieran estar vinculados con ORPI o delitos relacionados.
• Sin umbral o sin operación consumada. Los Avisos de sospecha/hechos pueden enviarse aunque no se alcance un umbral e incluso si la operación no se celebró, siempre que existan datos para identificar al Cliente o a quien intentó realizarla. También procede el Aviso cuando la contraparte aparezca en las listas oficiales utilizadas por UIF como mecanismo de prevención.

Entidades colegiadas

• Solicitud. Se presenta al SAT con los datos y documentos del Anexo 9 (información requerida para el establecimiento y operación de la Entidad Colegiada).
• Conservación. El convenio debe establecer que la información y documentación en poder de la Entidad Colegiada se conservará al menos 10 años desde la operación.
• Portal y notificaciones. Al suscribir el convenio acepta notificaciones electrónicas; SAT la registra en los medios electrónicos desde los cuales presentará Avisos y recibirá comunicaciones de SAT/UIF.

Reserva y confidencialidad

• Alcance. La confidencialidad comprende información, documentos, datos e imágenes de Actividades Vulnerables, identificación y estructura de control del Beneficiario Controlador y operaciones objeto de Aviso. Obliga al consejo/órgano equivalente, administradores, representantes, directivos, funcionarios, Encargado de Cumplimiento, empleados, apoderados y factores.
• Prohibición de alertar. No puede informarse al Cliente ni a terceros que fue mencionado en un Aviso, que existe un requerimiento de información o que existe una orden de aseguramiento antes de que se ejecute.
• Explicar la ley sí está permitido. Informar al Cliente sobre las obligaciones de identificación y cumplimiento derivadas de la Ley o de las Reglas no viola la confidencialidad.

Otras obligaciones

• Criterios internos. Deben existir criterios para clasificar Clientes por Riesgo y para preparar/presentar Avisos conforme al Capítulo III Bis (clasificación individual bajo/medio/alto) y Capítulo IV (Avisos e Informes), considerando guías, lineamientos y mejores prácticas de la UIF.
• Certificación UIF. Las personas físicas que realizan Actividades Vulnerables y los Representantes Encargados de Cumplimiento pueden obtener la certificación de la UIF en materia PLD; su vigencia es de cinco años.
• Actividades específicas. Quienes realicen las actividades de la fracción XII, apartados C y D del artículo 17 de la Ley deben observar, en lo conducente, el Capítulo II Quáter (metodología de Riesgos), III Bis (clasificación individual), III Ter (conocimiento del Cliente), X (Manual), XII (capacitación), XIII (mecanismos automatizados) y XIV (auditoría), de acuerdo con las facultades aplicables a sus funciones.

Intercambio de información en grupos empresariales

• Sujetos del mismo Grupo Empresarial pueden intercambiar información sobre Relaciones de Negocios y operaciones únicamente cuando la finalidad sea fortalecer las medidas de prevención y detección de operaciones vinculadas con los delitos previstos por el Reglamento (lavado de dinero y delitos relacionados).
• El intercambio debe garantizar seguridad y confidencialidad. Los mecanismos utilizados deben describirse en el Manual de Políticas Internas (documento que contiene las políticas de identificación, conocimiento, Riesgo y cumplimiento del sujeto).

Disposiciones generales

• Días hábiles. Las actuaciones y diligencias administrativas ante SAT se practican en días y horas hábiles. No se computan sábados, domingos, los días festivos listados por las Reglas ni los periodos generales de vacaciones/suspensión publicados por SAT.
• Presentación de escritos. Los escritos relacionados con la Ley, Reglamento o Reglas se presentan en oficinas autorizadas del SAT; bajo las condiciones previstas por la Regla, pueden enviarse por Correos de México mediante correo certificado con acuse de recibo cuando el interesado se encuentre fuera de la Entidad Federativa sede de la oficina competente.
• Citatorios. Si quien debe recibir un citatorio se niega o el domicilio está cerrado, se fija por instructivo en lugar visible y SAT debe levantar un acta de hechos que documente la diligencia.

Manual de políticas internas

• Función. Debe explicar cómo se cumplen las obligaciones de identificación y conocimiento, cómo se administran los Riesgos y cómo se ejecutan los controles internos. Puede remitir a documentos separados, pero debe identificarlos expresamente.
• Contenido mínimo. Criterios de identificación/conocimiento; clasificación de Riesgo; diligencia según Grado de Riesgo; PEP; detección de desviaciones del Perfil transaccional; Avisos/Informes; conservación; acumulación; identificación de personas en listas oficiales; funciones del Encargado de Cumplimiento; capacitación; control interno/supervisión/auditoría; confidencialidad; y procedimiento de actualización del Manual.
• Metodología y decisiones comerciales. Debe incluir la metodología del Capítulo II Quáter (identificación, medición y mitigación de Riesgos) y el procedimiento para abrir, limitar o terminar relaciones comerciales según sus resultados.
• Grupos Empresariales. Deben existir políticas y mecanismos centralizados para sucursales y filiales de propiedad mayoritaria, incluso extranjeras, cuando permitan compartir información para Riesgo y mantengan el cumplimiento individual de cada integrante.
• Supuestos que no se realizan. Si el sujeto decide no realizar determinados actos u operaciones, puede omitir políticas específicas si deja constancia en el Manual; antes de comenzar a realizarlos debe incorporar previamente las políticas correspondientes.
• Facultad del SAT. Puede requerir modificaciones al Manual y documentos relacionados cuando lo considere necesario para el cumplimiento o correcta aplicación de las Reglas.

Mecanismos de prevención

• Listas y mecanismos UIF. La UIF puede utilizar listas oficialmente emitidas por autoridades nacionales, organismos internacionales o autoridades extranjeras respecto de personas vinculadas con ilícitos y comunicar mecanismos de prevención que los sujetos deben considerar.
• Asociaciones y sociedades sin fines de lucro. Si su fin preponderante es recibir donativos o destinar fondos a fines caritativos, religiosos, culturales, educativos, sociales o filantrópicos, quedan sujetas a medidas con enfoque basado en Riesgo de financiamiento al terrorismo incluso si no actualizan una Actividad Vulnerable.
• Contenido mínimo de esas medidas. Capacitación/difusión y monitoreo de operaciones relacionadas con donantes o países considerados de alto Riesgo de financiamiento al terrorismo.

Capacitación y selección de personal

• Quién recibe capacitación. Consejo, administrador único/equivalente, directivos, funcionarios, Representante Encargado de Cumplimiento y empleados que atiendan público, identifiquen/conozcan Clientes, envíen Avisos o participen en auditoría.
• Frecuencia y contenido. Al menos una vez al año. Debe cubrir Ley, Reglamento, Reglas y formatos oficiales; Manual; Actividades Vulnerables realizadas; Riesgos del sujeto; y técnicas, métodos y tendencias para prevenir/detectar ORPI. El contenido debe corresponder con las funciones de cada participante.
• Instructor. Debe acreditar por lo menos cinco años de experiencia en prevención de lavado de dinero y delitos relacionados.
• Evidencia. Deben conservarse por 10 años programas, materiales, listas de asistencia, evaluaciones, constancias y demás soporte. Para emitir constancias debe aplicarse una evaluación; el Manual debe indicar qué ocurre cuando el resultado no es satisfactorio.
• Ingreso a áreas sensibles. Personal de atención al público o administración de recursos debe recibir capacitación antes o simultáneamente a su ingreso/inicio de actividades.
• Selección. Deben existir procedimientos para verificar calidad técnica, experiencia y honorabilidad. Cada funcionario/empleado debe firmar una declaración sobre experiencia previa en sectores sujetos a la Ley y sobre ausencia de sentencias por delitos patrimoniales o inhabilitaciones relevantes. El Manual u otro documento debe indicar qué medidas se adoptan si deja de cumplir esas condiciones.

Mecanismos automatizados

• Tecnología. Puede consistir en software especializado, hojas de cálculo, bases de datos u otros medios equivalentes; lo obligatorio son las funciones mínimas.
• Expedientes. Conservar, actualizar y permitir consultar datos y documentos del expediente único de cada Cliente.
• Consolidación. Agrupar las operaciones del mismo Cliente para monitoreo, detección de desviaciones del Perfil transaccional y acumulación de operaciones.
• Metodología. Proporcionar la información que alimenta la evaluación general de Riesgos del Capítulo II Quáter.
• Clasificación e historial. Ejecutar el modelo del Capítulo III Bis (clasificación individual bajo/medio/alto) y conservar al menos 10 años el historial de cambios del Grado de Riesgo y Perfil transaccional.
• Alertas. Generar alertas para Clientes de alto Riesgo, PEP, personas incluidas en listas oficiales y operaciones vinculadas con jurisdicciones de régimen fiscal preferente o con medidas PLD deficientes.
• Efectivo y metales. Monitorear el uso de efectivo y metales preciosos para cumplir las restricciones de la Ley.

Auditoría

• Revisión anual. Debe evaluarse y dictaminarse la efectividad del cumplimiento de la Ley, Reglamento y Reglas. El dictamen se presenta al consejo, administrador único, dirección general u órgano equivalente; si el sujeto es persona física, directamente a ésta.
• Primer año de operaciones. El periodo auditado corre desde el inicio de operaciones como Actividad Vulnerable hasta el 31 de diciembre del año siguiente.
• Riesgo bajo o medio. Puede auditar un área interna o de control interno independiente del Representante Encargado de Cumplimiento, con conocimiento de los procesos y acreditación de la capacitación anual.
• Riesgo alto o elección voluntaria. Debe intervenir auditor externo independiente con título/cédula en áreas autorizadas, al menos tres años de experiencia PLD, certificación UIF vigente, ausencia de condenas patrimoniales y de conflictos de interés; no puede haber sido Encargado de Cumplimiento del auditado durante el periodo auditado y los dos años posteriores.
• Contenido del dictamen. Presentación del auditor y Riesgos; objeto/alcance; volumen de información y muestreo; proceso/metodología; hallazgos; resultado individual de cumplimiento; y acciones correctivas/recomendaciones.
• Calificación. Cada obligación debe catalogarse como Cumple, Cumple mayoritariamente, Cumple parcialmente, No cumple o No aplica, según la evidencia y eficacia demostrable.
• Hallazgos y corrección. Deben indicarse acciones correctivas, responsables, plazos y una proyección económica de multas potenciales, así como seguimiento al año anterior.
• Plazo del dictamen. Se realiza dentro de los primeros tres meses posteriores al cierre y se entrega a más tardar el último día hábil de marzo. Las acciones correctivas deben procurarse antes del siguiente periodo o dentro del plazo fijado por el auditor; cuando proceda, los incumplimientos pueden subsanarse espontáneamente antes de la siguiente revisión.
• Conservación. Dictamen y soporte utilizado por el auditor se conservan al menos cinco años desde su entrega y deben estar disponibles para SAT.