Gerente Fiscal
en Ordux Tax & Consulting
Desde el año 2000, México es miembro del GAFI, razón por la cual se han emitido regulaciones que se alinean a dichas recomendaciones; como ejemplo está la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), su reglamento, las Reglas de Carácter General (RCG) y sus anexos.
Dentro de estas 40 recomendaciones, se encuentra la número 10 (debida diligencia del cliente), la cual menciona que los sujetos obligados deberán identificar y verificar la identidad de sus clientes, utilizando documentos, datos o información fiables, mencionando que cada país puede imponer obligaciones específicas de debida diligencia mediante su legislación y determinar su alcance al aplicar un Enfoque Basado en Riesgo (EBR). En México, esta obligación se encuentra contenida en el artículo 18.° (fracción I):
Quienes realicen las actividades vulnerables a las que se refiere el artículo anterior tendrán las obligaciones siguientes:
I. Identificar y conocer de manera directa a las personas clientes o usuarias con quienes realicen la Actividad Vulnerable y verificar su identidad, basándose en documentos u otros medios de identificación con reconocimiento oficial, así como recabar copia de los mismos, de conformidad con las Reglas de Carácter General que emita la Secretaría.
Esta fracción fue modificada recientemente, detallando de una manera puntual la forma en que se debe identificar al cliente, haciendo hincapié en que esto se deberá llevar a cabo conforme a las RCG.
Aunque hasta el momento no existe una actualización de dichas RCG, el Reglamento de la LFPIORPI y las reglas vigentes ya cuentan con criterios de identificación del cliente y usuarios, conforme al tipo y riesgo de este.
De conformidad con el artículo 12.° de las RCG, las personas que realicen actividades vulnerables deberán integrar y conservar un expediente único de identificación de cada uno de sus clientes y usuarios, el cual se conformará previamente o durante la realización de la operación o del establecimiento de una relación de negocios, lo cual deberá cumplir con los requisitos que se establecen para cada tipo.
Ahora bien, de acuerdo con el artículo 11.° de las RCG, los criterios para identificación del cliente o usuario deberán estar contenidos en el manual de cumplimiento para el desarrollo de cada actividad vulnerable.
El artículo 15.° del Reglamento de la LFPIORPI, modificado el 27 de marzo de 2026, permite que quienes realicen actividades vulnerables puedan dar cumplimiento a la obligación de identificación de los clientes o usuarios mediante medidas simplificadas cuando estos sean considerados de bajo riesgo, conforme al EBR con el que tienen la obligación de contar.
Estas medidas simplificadas se encuentran contenidas en el artículo 17.° de las RCG, donde se señala que los expedientes de identificación de clientes de bajo riesgo se deben integrar sólo con los datos señalados en los anexos 3, 4, 4 bis, 5, 6, 6 bis, 7 bis u 8 de dichas reglas (según corresponda); así como los relativos a la identificación del cliente y, en su caso, la de su representante, apoderados legales, delegados fiduciarios o de las personas que realicen los actos u operaciones a nombre de dicha persona moral.
La LFPIORPI, su reglamento, las RCG y sus anexos no cuentan con los lineamientos para realizar el EBR del sujeto obligado, por lo que es necesario que la persona que realiza las actividades vulnerables lleve a cabo un análisis y determine los parámetros para clasificar a un cliente como de bajo riesgo. Por lo tanto, el sujeto obligado contará únicamente con lo establecido en su manual de cumplimiento, en el que plasmará los criterios, medidas y procedimientos internos que llevará a cabo para el debido cumplimiento de su identificación.
Considerando que el origen de esta obligación está contenido en la recomendación 10 del GAFI, la misma que México está obligado a cumplir por los compromisos previamente adquiridos, es coherente que, para determinar los criterios, medidas y procedimientos del nivel de riesgo de un cliente o usuario, se base en las directrices que este organismo señala.
Dentro de la propia recomendación se indica que el alcance de la debida diligencia del cliente tiene que ser determinado aplicando un EBR para ver si puede ser simplificada, estandarizada o reforzada, según el nivel de riesgo.
Esta evaluación debe considerar ciertos factores, como el tipo de cliente, los productos o servicios ofrecidos, las zonas geográficas y las transacciones o canales de envío; asimismo, en todo momento se deben demostrar las bases en las que se sustenta su evaluación. Con respecto a cada uno de los factores, se debe considerar lo siguiente:
Para determinar si un cliente es de bajo riesgo, quien realice la actividad vulnerable debe tomar en cuenta las variables mencionadas (por separado o en combinación), ya que pueden aumentar o disminuir el riesgo de un cliente o usuario. Esto modificaría el modo de identificación del cliente, de uno determinado con medidas simplificadas a uno con medidas más reforzadas.
Por lo anterior, dentro del manual de cumplimiento se debe detallar el procedimiento y las bases que el sujeto obligado deberá considerar para determinar el modo de identificación del cliente, el nivel de debida diligencia que debe considerar y las bases del riesgo inherente a cada usuario, soportando los parámetros determinados.
La legislación nacional no define cómo realizar la evaluación del EBR para determinar cuándo un cliente o usuario es considerado de bajo riesgo y aplicar las medidas simplificadas de identificación. Por lo tanto, las personas que realicen las actividades vulnerables deben desarrollar (en el manual de cumplimiento) la forma en que determinarán que un cliente es de bajo riesgo, soportando su procedimiento como lo señalan las recomendaciones del GAFI y, en cuanto salgan las disposiciones para la evaluación de un EBR en la legislación nacional, realizar las modificaciones necesarias en el manual, así como en sus procesos, a fin de contar con los parámetros actualizados.
Cuando se aplican medidas simplificadas en la identificación de un cliente o usuario, se debe tener debidamente documentada y soportada la razón de por qué este es considerado de bajo riesgo, esto con el objetivo de demostrar que se llevó a cabo adecuadamente dicha identificación y no ser sujeto de alguna sanción administrativa.
Según la LFPIORPI, el aviso de 24 horas responde a una condición: existencia de indicios o sospechas de que los recursos puedan proceder de actos ilícitos.
Alexander Ludwig Hernández Alcántara
La falta de trazabilidad y control documental en la fiscalización electrónica incrementa el riesgo fiscal, administrativo y penal para las empresas.
Alejandro Méndez Rueda
La auditoría de estrés permite detectar fallas tecnológicas y operativas que podrían comprometer el cumplimiento en materia de PLD y FT en las empresas.
Alejandro Méndez Rueda
Las empresas que incorporan una cultura de cumplimiento antilavado no sólo evitan sanciones, sino que también protegen y consolidan su viabilidad futura.
Jorge Eugenio Martínez Vargas, Luis Leonardo López Juárez
© 2026 Colegio de Contadores Públicos de México, A.C.
Directorio Contacto Aviso legal Acerca de Veritas
Inicia sesión o suscríbete para continuar leyendo.