Cumplimiento CNBV & LFPIORPI de cara a la Evaluación GAFI 2026

Todas las entidades financieras reguladas por la CNBV (bancos, casas de bolsa, sofomes reguladas, ITF/fintechs bajo Ley Fintech) y las actividades vulnerables definidas en la LFPIORPI (notarios, inmobiliarias, contadores, joyeros, entre otros). Las obligaciones de DDC, monitoreo y reporte de ROU varían según el tipo de entidad y el nivel de riesgo de sus operaciones.

El GAFI evaluará México bajo su Metodología 2022, que prioriza la efectividad sobre el cumplimiento técnico formal. Los resultados más críticos para instituciones financieras incluyen: efectividad de la supervisión CNBV/UIF (R.I.3), transparencia del beneficiario controlador (R.I.5), investigaciones y procesamientos de ML/FT (R.I.7 y R.I.8), y medidas preventivas del sector financiero (R.I.4). Una calificación baja puede derivar en un Plan de Acción con seguimiento intensificado.

Sí. El mandato de integración biométrica CURP contra RENAPO (operativo desde febrero 2026) aplica a todas las entidades bajo supervisión CNBV que realicen onboarding digital, incluyendo Instituciones de Tecnología Financiera (ITF) reguladas bajo la Ley Fintech. Las ITF que no actualicen sus flujos de contratación remota para incluir validación biométrica estarán en incumplimiento regulatorio.

Desde la reforma de julio 2025 a la LFPIORPI, es obligatorio identificar a la(s) persona(s) físicas que ejerzan control sobre una persona moral (umbral general: participación superior al 25% del capital o control efectivo). La verificación requiere documentación de la estructura societaria, identificación oficial del beneficiario controlador y, para PEPs y clientes de alto riesgo, origen de patrimonio. Esta información debe actualizarse ante cambios materiales y conservarse 10 años.

La CNBV establece en su Circular PLD/FT seis tipologías que el sistema de monitoreo automatizado debe detectar: fraccionamiento de operaciones para evadir umbrales; movimiento rápido de fondos sin justificación económica; operaciones transfronterizas inconsistentes con el perfil del cliente; uso de cuentas como paso temporal de fondos; patrones de retiro en efectivo anómalos; y actividad inusual vinculada a jurisdicciones de alto riesgo.

Operaciones en efectivo superiores a 600 UMAs (~MXN 62.000 en 2025) requieren reporte mensual a la UIF; superiores a 1.000 UMAs (~MXN 103.000) requieren reporte inmediato. Para transferencias internacionales el umbral de monitoreo reforzado es USD 1.000. Los ROU deben presentarse dentro de 24 horas de sospecha razonable, con documentación de investigación que los sustente.

La contratación remota bajo la Ley Fintech y las circulares CNBV exige: autenticación del documento INE por OCR, validación en tiempo real ante RENAPO de identidad y datos biográficos, captura biométrica facial con prueba de vida (estándar ISO 29794-5), firma electrónica avanzada conforme a LFEA 2012, grabación KYC por video para casos de DDA, y pista de auditoría completa de todos los pasos de verificación.

Las listas de sanciones deben actualizarse con frecuencia diaria (óptimo) y mínimo semanal. La consulta debe realizarse tanto en apertura de cuenta como a nivel de operación al iniciar el pago. La actualización de información de clientes debe hacerse mínimo trimestralmente y siempre ante cambios materiales. Las coincidencias deben reportarse a la UIF dentro de las 24 horas con documentación de la investigación y procedimientos de congelamiento de activos ante coincidencias confirmadas.