Durante años la Ley Antilavado fue vista por el empresario promedio como algo lejano. Cosa de bancos, de notarios, de casas de cambio. Un asunto de otros.
Eso se acabó, y conviene entender por qué.
Desde julio de 2025 el régimen de prevención de lavado de dinero en México cambió de fondo. La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita entró en vigor el 17 de julio de 2025, y en marzo de 2026 se reformó su reglamento por primera vez desde 2013. El paquete completo endureció obligaciones, amplió el catálogo de actividades vulnerables, subió el estándar de identificación de clientes y tocó también el Código Penal Federal.
Y hay contexto detrás de esa prisa. México está en el proceso de evaluación del Grupo de Acción Financiera Internacional, con la visita del equipo evaluador ya realizada y la discusión de resultados en curso. Cuando un país está bajo evaluación, la supervisión no se relaja: se aprieta.
Este artículo responde dos preguntas. Qué cambió para quien sí realiza actividades vulnerables. Y la que casi nadie se hace: qué riesgo tienes tú si crees que no realizas ninguna.
Adelanto la respuesta de la segunda: más del que piensas, y por razones que no son obvias.
«La Ley Antilavado dejó de ser cosa de bancos y notarios. Hoy toca a cualquier empresa que reciba pagos, contrate proveedores o tenga socios.»
Qué cambió: los seis puntos que importan
1. El catálogo de actividades vulnerables creció
El artículo 17 de la ley es el que define quién está obligado. La reforma amplió ese perímetro, y la incorporación más relevante fue el desarrollo inmobiliario como actividad vulnerable por derecho propio.
Esto es importante porque antes la actividad vulnerable en materia inmobiliaria estaba pensada básicamente para la intermediación: la compraventa de inmuebles y los servicios de corretaje. Ahora el desarrollador queda dentro del perímetro por el hecho de desarrollar.
También se ajustó el tratamiento de la comercialización de activos virtuales, siguiendo la lógica de que ese sector concentra una parte creciente del riesgo.
2. El beneficiario controlador ya no se puede esquivar
Este es probablemente el cambio con más impacto práctico en la operación diaria.
La reforma obliga a identificar al beneficiario controlador entendido como persona física, o grupo de personas físicas, que ejerce el control real sobre una entidad, con un umbral de participación del veinticinco por ciento.
Traducido a la práctica: cuando tu cliente es una sociedad, ya no basta con identificar a la sociedad ni al representante que firma. Hay que llegar hasta las personas de carne y hueso que están detrás, atravesando las capas societarias que haya que atravesar.
Y esto no se queda en la Ley Antilavado. En materia fiscal existe desde hace tiempo la obligación de que todas las personas morales integren y conserven información de sus beneficiarios controladores como parte de su contabilidad, disponible para la autoridad. Es decir, aunque no realices ninguna actividad vulnerable, tu empresa ya debería tener esa información identificada y documentada.
3. Conservación de información por diez años
El plazo de conservación de la documentación e identificación de clientes pasó a diez años, computados a partir de las operaciones realizadas desde el 17 de julio de 2025.
Suena administrativo y no lo es. Diez años de expedientes de identificación, con soportes, actualizaciones y respaldos, es un problema de infraestructura documental que la mayoría de las empresas medianas no tiene resuelto.
4. Auditoría obligatoria
El reglamento reformado incorporó la obligación de obtener y conservar un dictamen de auditoría, interna o externa, junto con la documentación que acredite la regularización de las observaciones detectadas. El SAT puede requerirlo.
Este es un salto cualitativo: pasa de «cumple con tus obligaciones» a «demuestra con un tercero que estás cumpliendo, y demuestra que corregiste lo que estaba mal».
5. Capacitación y selección de personal
El reglamento ahora exige implementar procesos de selección de personal y programas anuales de capacitación. No es un curso de una vez al constituirse: es un programa recurrente y documentado.
6. Sanciones más rápidas y más caras
Aquí está el punto que debería preocupar más a cualquier obligado.
Las multas van de mil a sesenta y cinco mil veces la Unidad de Medida y Actualización, según la infracción. Con el valor de la UMA en 2026, la omisión de presentar avisos puede alcanzar cifras superiores al millón de pesos, y presentar avisos con más de treinta días de retraso ronda los doscientos treinta mil.
Pero el cambio de fondo no es el monto. Es la mecánica: el nuevo régimen permite sancionar por falta de respuesta a un requerimiento en un plazo muy breve, sin procedimiento sancionador previo. Es decir, un requerimiento que llegó al buzón y que nadie leyó puede convertirse en multa antes de que exista oportunidad de defensa.
Si tu empresa está obligada, la lección operativa es concreta: alguien tiene que revisar ese buzón todos los días y tiene que existir un responsable con facultades para responder de inmediato.
Lo que todavía está en pausa (y por qué eso no te salva)
Aquí hay una particularidad importante del momento actual.
La reforma le dio a la Secretaría de Hacienda doce meses para actualizar las reglas de carácter general. Ese plazo venció el 16 de julio de 2026 y las reglas no se publicaron.
Como resultado, hay obligaciones plenamente exigibles y otras que quedaron atadas a reglas que aún no existen. Están vigentes y son exigibles el perímetro ampliado de actividades vulnerables, la identificación del beneficiario controlador desde el veinticinco por ciento, la conservación por diez años y los plazos de aviso. Quedaron en suspenso las obligaciones que dependen de las reglas: el enfoque basado en riesgos, el manual de políticas internas, la capacitación conforme al nuevo estándar, el monitoreo automatizado y la auditoría en los términos que las reglas definan.
Y aquí va el consejo que damos a nuestros clientes: esa pausa es una ventana, no una dispensa.
Cuando las reglas se publiquen, van a traer plazos de implementación cortos, porque el retraso ya consumió el margen. Quien esté construyendo su sistema desde ahora va a adaptarlo. Quien esté esperando va a tener que improvisarlo bajo presión y con supervisión activa.
«Esa pausa es una ventana, no una dispensa.»
¿Y si mi empresa no realiza actividades vulnerables?
Ahora la pregunta que originó este artículo, y que merece una respuesta más larga que un simple «no te preocupes».
Primero: verifica de verdad si estás fuera
Este es el punto ciego más frecuente. La ley no clasifica por giro ni por sector: clasifica por actividad. Y una empresa cuyo negocio principal no tiene nada que ver con lavado de dinero puede realizar, de manera ocasional, una actividad que sí está en el catálogo.
Revisa si tu empresa hace alguna de estas cosas, aunque sea esporádicamente:
Otorga préstamos. El otorgamiento habitual o profesional de mutuos, préstamos o créditos, con o sin garantía, es actividad vulnerable. Muchas empresas prestan dinero a socios, a empleados, a partes relacionadas o a clientes, y nunca lo pensaron en estos términos.
Arrienda inmuebles. La constitución de derechos personales de uso o goce de bienes inmuebles es actividad vulnerable cuando se rebasan los umbrales. Si tu empresa patrimonial arrienda la nave a la operativa, o si arriendas locales a terceros, revísalo.
Presta servicios profesionales por cuenta de clientes. Cuando se preparan o llevan a cabo operaciones a nombre del cliente relacionadas con compraventa de inmuebles, administración de recursos, manejo de cuentas, organización de aportaciones de capital o constitución y administración de sociedades.
Recibe donativos. Las asociaciones y sociedades sin fines de lucro tienen su propio supuesto.
Comercializa vehículos, joyería, relojes, metales o piedras preciosas, obras de arte. O presta servicios de blindaje, traslado de valores, o comercializa activos virtuales.
Desarrolla inmuebles. El supuesto nuevo, y el que más empresas incorporó al perímetro.
Si alguna de estas te suena, no cierres el tema con un «creo que no aplica». Verifícalo con números en la mano, porque casi todas tienen umbrales en UMAs y la obligación se activa al rebasarlos, con la particularidad de que las operaciones se acumulan en periodos de seis meses.
Segundo: hay reglas que aplican a todos, obligado o no
El artículo 32 de la ley es el que más se ignora, y es el que alcanza a cualquiera.
Ese artículo prohíbe liquidar o pagar en efectivo ciertas operaciones por encima de determinados montos, sin importar si quien paga o quien recibe es sujeto obligado. Aplica a moneda nacional, divisas y metales preciosos, y cubre, entre otras, la transmisión de inmuebles, de vehículos, de relojes y joyería, de obras de arte, la constitución de derechos reales sobre inmuebles, y la transmisión de acciones o partes sociales.
Los montos están fijados en UMAs y los principales son alrededor de los novecientos cuarenta mil pesos para inmuebles y de los trescientos setenta y cinco mil para la mayoría de los demás supuestos, con los valores de 2026.
Y no es una recomendación: la violación de esta prohibición está sancionada, y quien la comete no necesita ser sujeto obligado para responder por ella.
Esto es especialmente relevante en dos escenarios muy comunes en México: la compraventa de vehículos entre empresas y particulares, y las operaciones inmobiliarias donde se pacta pagar una parte en efectivo. Ambas prácticas hoy tienen consecuencias.
Tercero: te van a alcanzar por ser contraparte
Aquí está el efecto más subestimado de toda la reforma, y el que más nos preguntan.
Tú puedes no estar obligado. Pero tus clientes, proveedores, arrendadores, compradores y el notario que va a protocolizar tu operación sí lo están. Y ellos tienen la obligación de identificarte, de identificar a tu beneficiario controlador y de integrar un expediente sobre ti.
En la práctica esto significa que te van a pedir acta constitutiva, poderes, identificaciones, comprobante de domicilio, constancia de situación fiscal, estructura accionaria completa y la identificación de las personas físicas que están detrás de tu sociedad. Y si tienes capas societarias, van a querer atravesarlas todas.
¿Qué pasa si no puedes o no quieres darlo? Que no te venden, no te compran, no te arriendan o no te protocolizan. Con la reforma, la contraparte obligada ya no tiene margen para ser flexible: su propio riesgo de multa depende de tener el expediente completo.
Hemos visto operaciones detenidas semanas enteras porque el comprador no tenía identificado a su beneficiario controlador y sus libros corporativos estaban incompletos. No hubo ilícito de por medio: hubo desorden documental.
«Tú puedes no estar obligado. Pero tu cliente, tu proveedor y tu notario sí lo están, y te van a pedir lo que a ellos les exigen.»
Cuarto: el riesgo bancario es real y silencioso
Los bancos operan bajo su propio régimen de prevención, más estricto que el de las actividades vulnerables, y con muy poca tolerancia al riesgo.
Una empresa cuyo perfil transaccional no coincide con su actividad declarada, que maneja efectivo en volúmenes inusuales, que recibe transferencias de terceros sin relación comercial aparente o cuyos socios no están claramente identificados, puede acabar con la cuenta restringida o cancelada.
Y esto ocurre sin acusación, sin proceso y muchas veces sin explicación. El banco simplemente decide que no quiere el riesgo.
Para una empresa mediana, perder su cuenta bancaria principal es un evento operativo grave. Y recuperar una relación bancaria después de una cancelación por perfil de riesgo es notablemente difícil.
Quinto: la responsabilidad penal no distingue
El artículo 400 Bis del Código Penal Federal, que tipifica el lavado de dinero, no aplica solo a sujetos obligados. Aplica a cualquiera.
Sanciona a quien adquiera, enajene, administre, custodie, posea, deposite, invierta, transporte o transfiera recursos con conocimiento de que proceden de una actividad ilícita, o cuando pretenda ocultar su origen, destino o propiedad.
La reforma de julio de 2025 tocó este artículo para facultar al Ministerio Público a investigar de oficio cuando se hayan usado servicios del sistema financiero, aunque mantuvo el requisito de denuncia de Hacienda para ejercer la acción penal, con esa dependencia actuando como víctima u ofendida.
Y hay un supuesto adicional que alcanza directamente a los no obligados: la propia Ley Antilavado tipifica como delito el proporcionar información, documentación o datos falsos a quienes deben presentar avisos, para que sean incorporados en ellos.
Léelo despacio, porque es el puente. Si tú, sin ser sujeto obligado, le das datos falsos a tu notario o a tu proveedor obligado para que armen su expediente, ese acto es delito por sí mismo.
Entonces, ¿hasta dónde llega mi riesgo?
Vamos a ordenarlo, porque no todos los riesgos son del mismo tamaño.
Riesgo alto si realizas alguna actividad vulnerable, aunque no lo hayas advertido, y no estás dado de alta ni presentando avisos. Aquí la exposición es directa y las multas son las que ya vimos. Este es el escenario que hay que descartar primero, y con evidencia, no con intuición.
Riesgo medio si operas con efectivo por encima de los límites del artículo 32, si tus contrapartes obligadas te están pidiendo documentación que no puedes entregar, o si tu estructura societaria no permite identificar con claridad a tus beneficiarios controladores. Aquí no hay una multa esperándote mañana, pero sí operaciones que se van a caer y una relación bancaria que se va a tensar.
Riesgo bajo pero no nulo si no realizas actividades vulnerables, tienes tu documentación corporativa al día, operas bancarizado y puedes identificar a tus beneficiarios controladores. Aun así, sigues sujeto a las prohibiciones de efectivo, a la responsabilidad penal general y al escrutinio de tus contrapartes.
Nadie está completamente fuera. Lo que cambia es qué tan lejos está el problema.
Lo que deberías hacer este trimestre
Sin importar en qué categoría caigas, estas cuatro cosas aplican y ninguna es cara:
Haz el diagnóstico de actividades vulnerables. Revisa operación por operación, no giro por giro. Es la única forma de saber si estás dentro o fuera, y es la respuesta que necesitas antes de cualquier otra cosa.
Identifica y documenta a tus beneficiarios controladores. Ya es obligación en materia fiscal, te lo van a pedir tus contrapartes y es el requisito que más operaciones detiene. Atraviesa todas las capas societarias hasta llegar a personas físicas y déjalo por escrito.
Pon en orden tus libros corporativos. Libro de registro de acciones al corriente, actas de asamblea, poderes vigentes, estructura accionaria clara. Es la base documental de todo lo anterior y es lo que más empresas tienen abandonado.
Revisa tu política de efectivo. Que nadie en tu empresa pueda pactar o recibir un pago en efectivo por encima de los límites sin que alguien lo autorice y lo verifique.
Si además resultas ser sujeto obligado, entonces el trabajo es mayor: alta en el padrón, designación de representante de cumplimiento, sistema de identificación de clientes, presentación de avisos en tiempo, expedientes con conservación a diez años, capacitación anual y el andamiaje que las reglas exijan cuando se publiquen.
Un cierre honesto
El régimen de prevención de lavado de dinero en México se construyó pensando en el crimen organizado, pero la carga administrativa recae sobre empresas ordinarias que no tienen nada que ver con él.
Esa es la parte injusta y no tiene caso discutirla. Lo que sí tiene caso es entender que hoy la buena fe no es defensa suficiente. Lo que te protege es la documentación: saber quién es tu cliente, saber quién está detrás de tu propia empresa, y poder demostrarlo cuando alguien lo pregunte.
La mayoría de los problemas que vemos en esta materia no nacen de operaciones sospechosas. Nacen de empresas desordenadas que no pudieron explicar algo perfectamente legítimo.
¿No sabes si tu empresa realiza actividades vulnerables o qué tan expuesta está? En Vality Consulting Group hacemos el diagnóstico completo, determinamos si eres sujeto obligado, identificamos y documentamos a tus beneficiarios controladores y ordenamos la documentación corporativa que tus contrapartes y la autoridad te van a exigir. Escríbenos y agendamos un diagnóstico sin costo.