No eres Actividad Vulnerable. Aun así te alcanza.

En resumen

Entre julio de 2025 y agosto de 2026 México reformó las tres piezas de su régimen de prevención de lavado de dinero: la ley, su Reglamento y las reglas operativas. La conversación pública se ha centrado en quién quedó dentro del catálogo de Actividades Vulnerables.

Para un grupo industrial extranjero la pregunta relevante es otra. No está en el catálogo, y aun así la reforma le llega — por tres vías que no dependen de su giro.

Empieza por el punto que casi todos saltan

Un grupo de manufactura, exportación o nearshoring no realiza una Actividad Vulnerable por el hecho de manufacturar. No es una categoría regulada.

La exposición llega de lado, y por tres caminos:

Primero, el beneficiario controlador de la matriz. La obligación de identificarlo no la tiene el grupo: la tienen las contrapartes reguladas con las que opera. Pero la información que ellas deben documentar está en la matriz, no en la planta.

Segundo, los vehículos. Los fideicomisos y las sociedades de propósito específico que se usan para tener terrenos y naves industriales sí caen dentro del régimen, aunque la operadora no.

Tercero, la regla de grupo. Cuando una entidad del grupo queda regulada, sus políticas de prevención dejan de ser un asunto de esa entidad.

Ninguna de las tres se detecta revisando el giro de la empresa. Se detectan revisando la estructura. Y es la razón por la que un diagnóstico que empieza y termina en “¿soy Actividad Vulnerable?” contesta la pregunta equivocada.

1. El catálogo, y lo que el catálogo no te dice

El artículo 17 de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita enumera las Actividades Vulnerables. Cada una trae su propio umbral, expresado en UMA —la Unidad de Medida y Actualización que publica el INEGI, cuyo valor diario es de $117.31 pesos desde el 1 de febrero de 2026—.

Al alcanzar el umbral nace la obligación de identificar al cliente. En un umbral más alto nace la de avisar la operación a la Unidad de Inteligencia Financiera de la Secretaría de Hacienda.

Hay un cambio en los umbrales que ha pasado casi inadvertido, y pesa más que la lista de categorías. Antes de la reforma cada umbral del artículo 17 estaba expresado en salarios mínimos —el del entonces Distrito Federal, una referencia que dejó de usarse para indexar montos legales hace años—. La reforma los convirtió todos a UMA. No es una actualización de redacción: umbrales anclados a una referencia congelada llevaban años perdiendo mordida en términos reales, y pasarlos a un índice que se mueve cada febrero los reactiva. Una empresa que en 2020 concluyó que estaba por debajo del umbral tiene que volver a hacer esa aritmética.

Las categorías que más pesan para un inversionista extranjero:

• Desarrollo, venta e intermediación inmobiliaria — desde 8,025 UMA, equivalentes a $941,413 pesos por operación (art. 17, fracciones V y V Bis).

• Fideicomisos y figuras análogas que tienen o administran activos, que el nuevo régimen regula de forma directa.

• Servicios notariales y profesionales ligados a operaciones inmobiliarias y corporativas.

• Otorgamiento de préstamos o créditos.

• Intercambio, custodia y transferencia de activos virtuales — con obligación de aviso desde 210 UMA, o $24,635 pesos, por operación (art. 17, fracción XVI). Esta categoría no es nueva: ya estaba en la ley antes de la reforma. Lo que cambió es la unidad en que se expresa el umbral.

• Bienes de alto valor: vehículos, obras de arte, joyería y metales preciosos.

Sobre las cifras. Los umbrales de la ley están en UMA, no en pesos ni en dólares. Los pesos que aparecen arriba son el producto de multiplicar el umbral por la UMA diaria vigente, y cambian cada 1 de febrero. Deliberadamente no incluimos equivalencias en dólares: dependen del tipo de cambio del día y convierten un dato verificable en uno que caduca. Si necesitas el orden de magnitud en dólares, divide la cifra en pesos por el tipo de cambio del DOF de la fecha en que estés leyendo.

2. Tres instrumentos, y qué hace cada uno

El régimen descansa en tres niveles, y los tres se movieron en trece meses:

Que sean tres instrumentos y no uno tiene una consecuencia práctica: una obligación puede estar en la ley desde julio de 2025 y su forma de acreditarla sólo definirse en las reglas de agosto de 2026. Cumplir con la ley y no con las reglas deja de ser suficiente a partir del calendario que sigue.

3. El calendario

• Ya vigente: las obligaciones centrales de la ley —identificación del beneficiario controlador, designación de oficial de cumplimiento, y el aviso dentro de las 24 horas siguientes a que se tuvo conocimiento o se generó la sospecha (artículo 18, fracción VI)— desde julio de 2025.

• 30 de noviembre de 2026: entran en vigor las Reglas de Carácter General. Su Transitorio Primero dice: “El presente Acuerdo entrará en vigor el treinta de noviembre de dos mil veintiséis, salvo las excepciones previstas en los siguientes artículos transitorios.” Todo lo que sigue es una de esas excepciones.

• 1 de marzo de 2027: metodología de riesgo operando, Manual de Políticas Internas actualizado a su nuevo contenido, clasificación de riesgo por cliente, perfil transaccional e identificación reforzada del beneficiario controlador.

• 30 de mayo de 2027: actualización de datos de beneficiario controlador para quienes ya estaban registrados en las categorías de activos virtuales.

• 1 de junio de 2027: mecanismos de monitoreo automatizado operando.

• Año calendario 2027: primer ciclo anual obligatorio de capacitación.

• Año calendario 2028: primer periodo sujeto a la auditoría anual — con el dictamen correspondiente en 2029.

Sobre de dónde sale este calendario. La entrada en vigor del 30 de noviembre de 2026 es el propio Transitorio Primero del Acuerdo. Las fechas escalonadas provienen de los artículos transitorios según los reportan cuatro fuentes mexicanas independientes —despachos y firmas de cumplimiento— que convergen en las mismas fechas; leímos los artículos operativos del Acuerdo en el texto oficial del DOF, pero los transitorios quedan fuera de la porción que pudimos recuperar. Son confiables para planear; verifica la que gobierne tu obligación antes de apoyarte en ella para un trámite.

La fecha que importa no es ninguna de éstas. El régimen nuevo se acredita con evidencia de que los controles operaron, no con la existencia del manual. Quien empiece en enero de 2027 va a tener documentos y no va a tener historial — y el historial es lo que revisa una auditoría.

4. El beneficiario controlador: el umbral bajó a la mitad

La ley define al beneficiario controlador por control, y el control existe cuando una persona puede, de manera alternativa:

i) imponer decisiones en las asambleas de accionistas u órganos equivalentes, o nombrar o remover a la mayoría de los consejeros o administradores; ii) mantener derechos que permitan ejercer el voto respecto de más del 25% del capital social; o iii) dirigir la administración, la estrategia o las principales políticas de la sociedad.

El porcentaje es el supuesto ii). El anterior era de más del 50%.

Bajarlo a la mitad no recalibra un formato: cambia quién aparece en el expediente. Socios extranjeros minoritarios que antes quedaban fuera hoy están dentro, y con ellos entra la cadena de tenencia completa hasta la matriz.

Y lee los supuestos i) y iii) antes de armar el mapa. No traen porcentaje alguno. Un convenio de accionistas que otorgue derecho a designar consejeros, un veto sobre materias reservadas, o la dirección de hecho de la estrategia vuelven a una persona beneficiario controlador con el 10%, o con nada. Un ejercicio que sólo persiga porcentajes va a dejar fuera a personas que la ley sí alcanza — y en coinversiones y participaciones minoritarias ése es el caso normal, no la excepción.

Para una subsidiaria mexicana de un grupo extranjero eso significa que la información que hay que documentar no está en México. Está en la matriz, en otro idioma y bajo otra área de cumplimiento. Reunirla toma semanas, no días — y la va a pedir cada contraparte regulada con la que el grupo opere.

5. Las políticas del grupo ya no se detienen en la frontera

Cuando la entidad regulada forma parte de un grupo empresarial, sus políticas de prevención deben extenderse a todas las filiales de propiedad mayoritaria, “incluidas las extranjeras” (art. 18, fracción VIII).

El programa de cumplimiento de una subsidiaria mexicana deja de poder vivir aislado. Y la dirección del flujo importa: no es que la matriz imponga su política al grupo, es que la entidad mexicana regulada arrastra al grupo hacia el estándar mexicano. Para un grupo con política global propia, eso obliga a un ejercicio de conciliación que casi nadie tiene hecho.

6. Lo que cuesta no cumplir

Las multas se fijan en UMA y escalan con la gravedad:

El renglón que hay que leer dos veces es el tercero. En infracciones graves el tope en UMA deja de ser el techo: si el 100% del valor de la operación es mayor, ése es el monto. En una operación inmobiliaria la multa puede exceder por órdenes de magnitud cualquier cifra de la tabla. Un desarrollo de doscientos millones de pesos no tiene una exposición de siete millones y medio; tiene una de doscientos.

7. La válvula: corregir antes de que pregunten

El régimen premia la corrección espontánea. Corregir antes de que arranque una auditoría puede eximir por completo la sanción la primera vez, y una infracción autodenunciada posteriormente puede reducirse hasta en 50%.

Eso cambia el cálculo de una entidad que descubre que debía estar registrada y no lo está. La opción de esperar a ver si preguntan es, por diseño de la propia ley, la más cara de las disponibles.

Qué hacer

1. Revisa la estructura, no el giro. Identifica cuál de tus entidades mexicanas —operadora, fideicomiso, vehículo inmobiliario— realiza una Actividad Vulnerable conforme al artículo 17. La respuesta casi nunca es la operadora.

2. Traza la cadena de beneficiario controlador contra el umbral de 25%, hasta la matriz extranjera y sin excluir socios minoritarios. Es el ejercicio que toma más tiempo y el que más se posterga.

3. Concilia la política del grupo con el estándar mexicano, no al revés.

4. Elabora o actualiza el Manual de Políticas Internas con margen antes de marzo de 2027. El cuello de botella no va a ser tu equipo: van a ser los proveedores y asesores conforme se acerque la fecha.

5. Presupuesta el monitoreo automatizado —junio de 2027— y la primera auditoría —2028— desde este ejercicio. No son gastos del año de la obligación; son gastos del año anterior.

6. Si una entidad debía estar registrada y no lo está, regístrala y corrige de forma espontánea. Ver la sección 7.

Lo que queda abierto — dicho de frente

No hemos verificado contra fuente primaria el detalle operativo del registro: ante qué autoridad se presenta, qué se acompaña y en qué plazo queda inscrita una entidad. Es la primera pregunta operativa de cualquier grupo extranjero y esta guía todavía no la contesta.

El plazo para tener listo el Manual de Políticas Internas es de noventa días naturales. El artículo 18, fracción VIII de la ley obliga a elaborarlo y observarlo pero no fija plazo; el plazo está en las Reglas de Carácter General, artículo 37, que exige que quien realice una Actividad Vulnerable cuente con el Manual “a los noventa días naturales de alta y registro”. Esa obligación se vuelve exigible cuando las Reglas entran en vigor, el 30 de noviembre de 2026, y el nuevo contenido del Manual es exigible el 1 de marzo de 2027. Noventa días naturales, no hábiles: el cómputo no se detiene en fines de semana ni en días festivos.

Y hay una asimetría que vale nombrar. El artículo 18, fracción VI exige el aviso dentro de las 24 horas siguientes a que se tuvo conocimiento o se generó la sospecha desde julio de 2025 — y el disparador que fija ese texto es el conocimiento, no una operación consumada. La metodología con la que se identifica una conducta sospechosa sólo será obligatoria el 1 de marzo de 2027. Hay una ventana de unos veinte meses en la que la obligación de detectar corre por delante de la obligación de tener el sistema que detecta. Preferimos señalarlo a fingir que el calendario es coherente.

Análisis complementario

¿Tu estructura toca el régimen antilavado mexicano?

Trazamos la cadena de beneficiario controlador, los vehículos y las obligaciones de grupo antes de que una contraparte lo pida — con honorarios fijos y transparentes.