Las nuevas Reglas de Carácter General de la LFPIORPI ya están publicadas: qué cambia y qué tienes que hacer antes del 30 de noviembre
El Acuerdo 115/2026 se publicó el 7 de agosto de 2026. Las obligaciones que llevaban un año en pausa ahora tienen fecha concreta. Aquí está lo que necesitas saber.
Introducción
Desde julio de 2025, constructoras y desarrolladoras en México sabían que se venían cambios importantes. La reforma a la LFPIORPI había incorporado cinco nuevas obligaciones al Artículo 18 —enfoque basado en riesgos, manual de políticas, capacitación, monitoreo automatizado y auditoría— pero las había dejado en suspenso, condicionadas a la publicación de las nuevas Reglas de Carácter General (RCG). El 7 de agosto de 2026, la Secretaría de Hacienda publicó en el DOF el Acuerdo 115/2026.
Ahora hay fechas, hay procedimientos y hay un calendario concreto de cumplimiento que tu empresa necesita conocer hoy.
Antecedentes: de dónde viene esto
Para entender qué cambia conviene recordar cómo llegamos aquí, porque el Acuerdo 115/2026 es el tercer eslabón de una cadena que empezó hace un año.
Julio de 2025 — la reforma a la ley. El 16 de julio de 2025 se publicó en el DOF la reforma más significativa a la LFPIORPI desde su creación. Para el sector construcción trajo tres cambios de fondo:
- Fracción V Bis — nueva actividad vulnerable. Además de la construcción y compraventa de inmuebles (Fracción V), ahora también es actividad vulnerable recibir recursos destinados a un desarrollo inmobiliario con fines de venta o renta, incluyendo fraccionamiento de lotes, con umbral de aviso de 8,025 veces el valor diario de la UMA. Y desapareció el requisito de que la actividad fuera habitual o profesional: una sola operación puede bastar para que nazcan las obligaciones. Si no tienes claro en qué fracciones debes estar registrado, empieza por cómo dar de alta tu constructora en el Padrón de Actividades Vulnerables.
- Personas Políticamente Expuestas — definición legal por primera vez. La ley incorporó una definición expresa de PEP y la obligación de identificarlas, monitorearlas y darles seguimiento intensificado.
- Beneficiario Controlador — umbral del 50% al 25%. Se eliminó la excepción por relación comercial y se eliminó la posibilidad de que el beneficiario controlador sea una persona moral: siempre debe ser una persona física. Lo desarrollamos a detalle en cómo identificar al Beneficiario Controlador.
Esa misma reforma subió a rango de ley un paquete de obligaciones que hasta entonces solo vivían en normativa secundaria: mecanismos automatizados de monitoreo, Manual de Políticas Internas, auditoría anual, capacitación, alta en el padrón, aviso en 24 horas por operaciones sospechosas e informes en ceros. Todas ellas están recogidas en las 11 obligaciones del Artículo 18.
Marzo de 2026 — la reforma al Reglamento. El 27 de marzo de 2026 se publicó la primera modificación al Reglamento de la LFPIORPI desde 2013: 44 artículos modificados, 15 adicionados y un capítulo completo sobre PEP. Amplió las facultades del SAT para vigilar y requerir dictámenes de auditoría, precisó el período de acumulación de operaciones en seis meses, acortó los plazos de respuesta ante requerimientos y reforzó la exigencia documental. Entró en vigor el 28 de marzo de 2026.
Agosto de 2026 — las Reglas de Carácter General. Lo que faltaba. La SHCP tenía hasta julio de 2026 para emitirlas; el Acuerdo 115/2026 llegó el 7 de agosto y cierra el círculo.
¿Qué son las Reglas de Carácter General y por qué importaban tanto?
Las RCG son las disposiciones técnicas que operan la ley en la práctica: definen los procedimientos exactos de identificación de clientes, los formatos de avisos, los requisitos de los expedientes, cómo funciona el monitoreo automatizado y qué debe contener el dictamen de auditoría. Sin ellas, varias obligaciones del Artículo 18 —las fracciones VII a XI— simplemente no tenían forma de cumplirse porque la ley no especificaba cómo hacerlo.
Con el Acuerdo 115/2026 eso cambia. Ahora hay reglas claras, hay plazos y hay un régimen sancionador que aplica a partir del momento en que cada obligación entre en vigor.
Las fechas que tienes que tener marcadas
El Acuerdo establece una entrada en vigor escalonada. No todo aplica al mismo tiempo, y confundir un plazo con otro es exactamente el tipo de error que después cuesta multas.
La entrada en vigor general del Acuerdo es el 30 de noviembre de 2026. A partir de esa fecha aplican los cambios al alta y registro en el padrón, las nuevas reglas de identificación de clientes, los formatos actualizados de expedientes y los procedimientos de notificación electrónica. Si hoy tu proceso de integración de expedientes no sigue los requisitos de los nuevos Anexos, tienes hasta esa fecha para ajustarlo.
A partir del 1 de marzo de 2027 entran en vigor tres obligaciones de fondo:
El Enfoque Basado en Riesgos (Capítulo II Quáter). Tu empresa deberá tener diseñada e implementada una metodología formal de evaluación de riesgos —documentada, basada en los factores de riesgo de tus operaciones y clientes, y alineada a la Evaluación Nacional de Riesgos que publica la UIF— disponible para la autoridad en cualquier momento.
El Manual de Políticas Internas (Capítulo X) deberá incorporar esa metodología. Si ya tienes un manual, no basta con tenerlo: tiene que incluir expresamente el diseño del enfoque basado en riesgos, los criterios de clasificación de clientes por grado de riesgo y los procedimientos de conocimiento del cliente. Si te diste de alta hace más de noventa días naturales, la obligación te aplica desde esta fecha.
Las obligaciones de Clasificación del Grado de Riesgo, Conocimiento del Cliente y Beneficiario Controlador (Capítulos III Bis, III Ter y III Quinquies) también entran en vigor el 1 de marzo de 2027. Desde ese momento deberás clasificar a cada cliente en al menos tres niveles de riesgo —bajo, medio y alto— revisarlos cada seis meses, y aplicar diligencias reforzadas a los de riesgo alto y a las Personas Políticamente Expuestas.
El primer período anual de capacitación abarca del 1 de enero al 31 de diciembre de 2027. La capacitación deberá impartirse por alguien con al menos cinco años de experiencia en PLD y aplicarse, como mínimo, al consejo de administración, directivos, la persona Representante Encargada de Cumplimiento y todos los empleados con contacto directo con clientes.
Los mecanismos automatizados de monitoreo (Capítulo XIII) deberán estar operando a más tardar el 1 de junio de 2027. Las reglas son precisas sobre lo que deben hacer: consolidar las operaciones de cada cliente en una base única, ejecutar el modelo de evaluación de riesgos, generar alertas sobre clientes de riesgo alto y Personas Políticamente Expuestas, y conservar el historial de cambios en grado de riesgo y perfil transaccional por al menos diez años.
La primera auditoría anual (Capítulo XIV) cubrirá el período del 1 de enero al 31 de diciembre de 2028, con entrega del dictamen antes del último día hábil de marzo de 2029.
Los cambios más relevantes para el sector construcción
El aviso de sospecha ahora tiene reloj: 24 horas
Una de las incorporaciones más importantes de las nuevas reglas es la regulación expresa del aviso por sospecha. A partir de la publicación de los nuevos formatos oficiales, cuando detectes actividad inusitada en una operación —o un intento de operación que nunca se concretó— tienes 24 horas para presentar el aviso ante la UIF a través del portal del SAT. Esto aplica incluso si la operación no alcanzó el umbral de aviso ordinario, e incluso si no llegó a celebrarse.
El Beneficiario Controlador al 25%: ahora con procedimiento formal
El umbral del 25% para identificar al Beneficiario Controlador ya existía desde la reforma de julio de 2025. Lo que las nuevas reglas agregan es el procedimiento concreto: el orden de prelación para identificarlo, la documentación que debes conservar, el tratamiento específico cuando el cliente opera a través de un fideicomiso y los casos en que puedes exceptuarte de recabar su documentación de identificación.
Para el sector inmobiliario, donde los fideicomisos son un vehículo habitual, las reglas establecen con precisión quién es Beneficiario Controlador en un fideicomiso: cualquier persona física que en última instancia ejerza control efectivo sobre el mismo, sea como fideicomitente, fideicomisario, miembro del comité técnico o cualquier figura equivalente. Y cuando alguno de esos roles lo ocupa a su vez una persona moral, tienes que seguir ascendiendo en la cadena hasta llegar a una persona física.
Los expedientes ahora tienen dos nuevos anexos
Las reglas incorporan el Anexo 2 Bis y el Anexo 2 Ter para el alta y registro de quienes realizan actividades vulnerables a través de fideicomisos o cualquier otra figura jurídica. Si tu empresa opera mediante un fideicomiso o una asociación en participación, deberás actualizar tu registro en el portal del SAT con los datos específicos que establecen estos nuevos anexos dentro de los plazos que correspondan.
Asimismo, todos los anexos de identificación de clientes —del 3 al 9— fueron actualizados en detalle: se uniformizó el requisito de nombres completos sin abreviaturas, se precisó qué documentos son válidos como identificación oficial (incluyendo identificaciones vencidas con no más de dos años desde su vencimiento), y se formalizó la constancia de Beneficiario Controlador como requisito integral del expediente. Si quieres contrastar tu proceso actual contra lo que exige el expediente completo, revisa el checklist del expediente PLD de persona moral.
El monitoreo automatizado: las hojas de cálculo cumplen, con condiciones
Un punto que generó mucha incertidumbre en el sector es hasta qué nivel de tecnología se requiere para cumplir con el monitoreo automatizado. Las nuevas reglas aclaran que los mecanismos automatizados pueden incluir desde sistemas informáticos especializados hasta procesos apoyados en hojas de cálculo y bases de datos, siempre que sus funciones cumplan con lo previsto en el Artículo 41 y sean verificables ante la autoridad.
Las funciones mínimas que debe cumplir el mecanismo, sea cual sea la tecnología que uses, son seis: conservar y permitir la consulta del expediente de cada cliente; consolidar y acumular las operaciones de un mismo cliente en un período de seis meses; proveer la información necesaria para tu metodología de evaluación de riesgos; ejecutar el modelo de clasificación de clientes por grado de riesgo con historial de cambios; generar alertas sobre clientes de riesgo alto, PEPs y personas en listas de bloqueados; y monitorear el uso de efectivo y metales preciosos para efectos del Artículo 32.
Si tu proceso actual es una hoja de cálculo manual que un colaborador actualiza a fin de mes, cumplir con estas funciones de forma consistente, auditable y durante diez años no es algo que pueda sostenerse sin estructura.
La auditoría: quién la puede hacer y qué debe contener el dictamen
Las reglas definen con precisión los dos escenarios posibles para el dictamen de auditoría. Si tu nivel de riesgo evaluado conforme al enfoque basado en riesgos es bajo o medio, el dictamen puede ser emitido por tu propia área de auditoría o control interno, siempre que esa área sea independiente de la persona Representante Encargada de Cumplimiento y cuente con al menos una constancia de capacitación anual en PLD.
Si tu riesgo es alto —o si así lo prefieres— el dictamen debe ser emitido por un auditor externo independiente que cuente con la certificación vigente de la UIF al momento de firmarlo, con al menos tres años de experiencia en PLD/FT y sin haber prestado servicios al auditado durante el período revisado ni haber fungido como Representante Encargada de Cumplimiento en los dos años anteriores.
El dictamen no es un documento libre: las reglas establecen siete secciones mínimas obligatorias —presentación, objeto, volumen e muestreo, proceso de auditoría, hallazgos, resultados de cumplimiento y acciones correctivas— y cinco categorías de resultado posibles para cada obligación evaluada: cumple, cumple mayoritariamente, cumple parcialmente, no cumple y no aplica.
Un elemento nuevo y de impacto práctico: el dictamen debe incluir una proyección económica del monto al que ascenderían las multas en caso de no atender cada hallazgo. Esto convierte el dictamen en un documento con peso financiero explícito que llegará a manos del consejo de administración o la dirección general. Si quieres prepararte con tiempo, revisa cómo prepararte para tu primer dictamen de auditoría PLD.
¿Y si ya venías cumpliendo con lo que había antes?
La buena noticia es que las reglas no borran lo que ya hiciste. Si tenías tu alta en el padrón, presentabas avisos mensuales —incluyendo los en ceros—, llevabas expedientes de clientes e identificabas al Beneficiario Controlador conforme al umbral del 25%, ese cumplimiento sigue siendo válido. Lo que cambia es que ahora tienes que añadir las obligaciones que estaban suspendidas y ajustar tus procesos a los nuevos estándares de documentación que establecen los anexos actualizados.
El riesgo real no está en lo que ya cumplías. Está en lo que quedaba pendiente —el manual sin metodología de riesgo, el monitoreo que se hacía a mano, la capacitación que no se documentaba— y que ahora tiene fecha exacta de exigibilidad.
Lo que sigue no puede dejarse para noviembre
El calendario es más apretado de lo que parece. La entrada en vigor general es el 30 de noviembre de 2026, pero las obligaciones más complejas —la metodología de riesgo, el manual actualizado, la clasificación de clientes, los mecanismos automatizados— tienen sus propios plazos que comienzan antes del cierre del año siguiente. Construir todo eso desde cero en el último mes no es una estrategia, es una apuesta a que nadie te revise.
LexBuild está diseñado precisamente para esto: integrar el expediente de cada cliente con todos los elementos que exigen los nuevos anexos, calcular automáticamente el grado de riesgo conforme a la metodología que establece el Capítulo II Quáter, generar el aviso de sospecha en tiempo real cuando una operación lo requiere y mantener el historial de clasificaciones y alertas que el dictamen de auditoría necesita como evidencia.
Solicita una demo y te mostramos cómo LexBuild te prepara para cada uno de estos plazos, sin que tengas que construir la estructura desde cero.
Las obligaciones no esperan a que estés listo. Pero sí puedes estar listo antes de que lleguen.