Auditoría anual PLD del Acuerdo 115: ¿interna o auditor externo certificado por la UIF?

Durante años, la auditoría en materia de PLD fue una práctica recomendable pero no una obligación uniforme para todas las actividades vulnerables. El Acuerdo 115/2026, publicado en el Diario Oficial de la Federación el 7 de agosto de 2026, cierra ese hueco: convierte la auditoría anual en una obligación formal dentro de las Reglas de Carácter General de la LFPIORPI, con periodo definido, plazo de entrega y un criterio claro sobre quién puede firmar el dictamen.

La pregunta que más nos llega desde que se publicó el Acuerdo es directa: ¿puedo auditarme con mi propio equipo o tengo que contratar a un tercero certificado? La respuesta no es la misma para todos. Depende de cómo quede clasificada tu operación bajo el enfoque basado en riesgo, y ahí es donde muchos sujetos obligados todavía no tienen claridad. En este artículo explicamos qué es la nueva auditoría anual, cuál es su periodo y su plazo de dictamen, la diferencia entre dictaminar con área interna y contratar un auditor externo certificado por la UIF, desde cuándo aplica y cómo llegar a marzo con el dictamen resuelto en lugar de vivirlo como una crisis.

¿Qué es la auditoría anual PLD del Acuerdo 115?

La auditoría anual es una revisión formal del cumplimiento del sujeto obligado en materia de prevención de lavado de dinero, que verifica que lo que dice tu manual de políticas efectivamente ocurre en tu operación. No es una revisión contable ni fiscal: evalúa que tu enfoque basado en riesgo, tus expedientes de identificación, tu monitoreo y tus reportes existan, estén completos y sean consistentes con lo que exige la LFPIORPI y sus Reglas de Carácter General.

El Acuerdo 115 la eleva a obligación dentro de las RCG y la ata a un ciclo anual con reglas concretas. En términos prácticos, la auditoría responde tres preguntas:

1. ¿Está diseñado el cumplimiento? Es decir, existen la matriz de riesgo, el manual de políticas internas y la clasificación de clientes que exige el marco.
2. ¿Está operando? Los expedientes se integran, el monitoreo genera alertas, los avisos se presentan al SAT en tiempo y forma.
3. ¿Está documentado? Existe evidencia verificable de cada punto anterior, conservada por el plazo que marca la ley.

La diferencia con la vieja lógica de “cumplimiento formal” es sustantiva: la auditoría del Acuerdo 115 no busca que tengas los documentos por tenerlos, sino que demuestres una gestión efectiva del riesgo. Un manual impecable que nadie aplica no aprueba esta auditoría.

¿Cuál es el periodo y el plazo del dictamen?

Aquí conviene ser milimétrico, porque dos fechas distintas suelen confundirse. El periodo auditado y el plazo para entregar el dictamen no son lo mismo.

1. El periodo auditado corre del 1 de enero al 31 de diciembre de cada año. La auditoría revisa un ejercicio anual completo, de enero a diciembre.
2. El dictamen debe estar listo a más tardar el último día hábil de marzo del año siguiente. Es decir, tienes el primer trimestre del año siguiente para cerrar la revisión y formalizar el resultado.
3. El primer periodo obligatorio es el ejercicio 2028, del 1 de enero al 31 de diciembre de 2028, con dictamen a más tardar el último día hábil de marzo de 2029.

Ese calendario da una ventana de trabajo cómoda solo en apariencia. En la práctica, el material que la auditoría revisa —expedientes de identificación, histórico de alertas, evidencia de capacitación, avisos presentados— se construye durante todo el año auditado. Quien llega a enero sin esa evidencia ordenada no tiene tres meses para auditarse: tiene tres meses para reconstruir doce, y eso rara vez termina bien.

¿Quién puede dictaminar con su área interna y quién necesita auditor externo?

Este es el punto que define tu presupuesto y tu logística, y la regla lo resuelve con base en tu perfil de riesgo bajo el enfoque basado en riesgo. Si todavía no tienes construida tu matriz de riesgo del Acuerdo 115, esa es la pieza previa que determina en cuál de los dos escenarios caes.

1. Riesgo bajo o medio: puedes dictaminar con tu área interna. El sujeto obligado que, conforme a su metodología de riesgo, se clasifica en un nivel bajo o medio puede realizar la auditoría con su propia área interna de cumplimiento. No exige contratar a un tercero, pero sí exige que el dictamen tenga sustento real: evidencia, criterios y trazabilidad.
2. Riesgo alto: requiere auditor externo independiente certificado por la UIF. Cuando la operación se clasifica en riesgo alto, la auditoría no puede ser interna. Debe realizarla un auditor externo independiente que además esté certificado por la Unidad de Inteligencia Financiera. Son dos requisitos acumulativos: independiente y certificado por la UIF.
3. La clasificación no es opcional ni cosmética. El nivel de riesgo con el que te clasificas define quién audita. Clasificarte “bajo” para ahorrarte el externo, sin sustento metodológico, es exactamente el tipo de decisión que una supervisión posterior del SAT o la CNBV cuestiona primero.

La lógica detrás es sensata: a mayor exposición al riesgo de lavado, mayor independencia se exige en la revisión. Un negocio de bajo riesgo puede autoevaluarse con rigor; uno de alto riesgo necesita un ojo externo y acreditado que valide que sus controles reforzados —conocer origen y destino de los recursos, screening de PEP, monitoreo de efectivo y metales— realmente funcionan.

¿Desde cuándo aplica la obligación de auditoría?

El Acuerdo 115 entró en vigor el 30 de noviembre de 2026, pero sus obligaciones se escalonan. La auditoría anual es de las últimas piezas del calendario, precisamente porque depende de que las anteriores ya estén operando.

1. 30 de noviembre de 2026: entrada en vigor general del Acuerdo.
2. 1 de marzo de 2027: enfoque basado en riesgo y matriz, manual de políticas internas y clasificación de clientes.
3. 1 de junio de 2027: mecanismos automatizados de monitoreo del artículo 41.
4. 2027: primer periodo de capacitación anual.
5. 2028: primer periodo de auditoría anual (1 de enero a 31 de diciembre de 2028), con dictamen a más tardar el último día hábil de marzo de 2029.

El orden no es casual. No tendría sentido auditar en 2027 un enfoque basado en riesgo que apenas nació ese mismo año, ni una capacitación que aún no cumple su primer ciclo. Para 2028 se espera que la matriz de riesgo, el manual, la clasificación de clientes, los mecanismos automatizados y la capacitación lleven al menos un ejercicio operando. La auditoría de 2028 revisa un año en el que todo eso ya debía estar funcionando.

Eso te da una lectura estratégica clara: el trabajo para aprobar la auditoría de 2028 no empieza en 2028. Empieza en 2027, cuando construyes y pones a operar los controles que la auditoría revisará.

¿Cómo llegar listo al dictamen sin improvisar?

La diferencia entre una auditoría que se resuelve en semanas y una que se convierte en crisis casi nunca está en el auditor. Está en el estado de tu evidencia cuando llega enero. Estas son las prioridades prácticas:

1. Cierra tu clasificación de riesgo primero. Es la que define si te auditas interno o necesitas externo certificado. Definirla tarde te deja sin tiempo para conseguir un auditor UIF si resultas de riesgo alto.
2. Construye evidencia durante todo el año, no al final. Expedientes de identificación completos, histórico de alertas conservado, avisos presentados con acuse, constancias de capacitación. La auditoría no revisa intenciones; revisa registros.
3. Ordena el histórico de tus mecanismos automatizados. El artículo 41 exige conservar el modelo de evaluación de riesgo y su histórico por 10 años. Ese histórico es materia directa de auditoría.
4. Documenta la trazabilidad de decisiones. Por qué clasificaste a un cliente en cierto nivel, por qué una alerta se cerró sin aviso, cómo se atendió un caso de PEP. Un dictamen sólido se apoya en criterios documentados, no en memoria.
5. Si vas a externo, contrátalo con anticipación. El auditor externo certificado por la UIF es un recurso acotado. Buscarlo en marzo, cuando todos lo buscan, es la peor estrategia.

Aquí es donde la herramienta con la que operas hace una diferencia medible. Reunir un año de expedientes, alertas e histórico de riesgo a mano, desde correos y hojas de cálculo, es precisamente lo que convierte una auditoría en pesadilla. Regcheq PLD X mantiene esa evidencia lista de forma nativa: expedientes únicos de identificación integrados, histórico del modelo de riesgo conservado a 10 años, alertas de riesgo alto y PEP registradas y avisos con acuse. Cuando llega el dictamen —lo firme tu área interna o un auditor externo— la información ya está ordenada y trazable, no dispersa. Existen otras plataformas en el mercado, pero pocas cubren de forma integrada las seis funciones del artículo 41 que la auditoría revisará; para eso, es la opción más completa para operar el Acuerdo 115 sin fricción. Si además quieres una revisión previa antes del dictamen, revisa nuestro acompañamiento en auditorías PLD.

Preguntas frecuentes

¿La auditoría anual PLD del Acuerdo 115 aplica a todas las actividades vulnerables? Sí. Como el resto del Acuerdo 115, la obligación alcanza a todas las actividades vulnerables del artículo 17 de la LFPIORPI, sin importar el tamaño del negocio. Lo que cambia según tu perfil no es si te auditas, sino quién puede firmar el dictamen: área interna para riesgo bajo o medio, auditor externo certificado por la UIF para riesgo alto.

¿Qué pasa si me clasifico en riesgo bajo pero en realidad soy de riesgo alto? Es el escenario más costoso. La clasificación debe sostenerse en tu metodología de riesgo, y una supervisión posterior del SAT o la CNBV puede cuestionarla. Si te clasificaste bajo para evitar el auditor externo y no hay sustento, el problema no es solo la auditoría: es la credibilidad de todo tu enfoque basado en riesgo. Conviene documentar por qué llegaste a tu nivel de riesgo.

¿El auditor interno puede ser el mismo oficial o representante de cumplimiento? La regla exige que el dictamen tenga sustento real y trazable. Aunque para riesgo bajo o medio la auditoría puede realizarse con el área interna, conviene cuidar la objetividad del ejercicio: quien audita debe poder cuestionar los controles con criterio, no solo validar su propio trabajo. Ante duda sobre el alcance de esta figura, remite a la fuente oficial y al texto de las Reglas de Carácter General.

¿Cuándo se entrega el primer dictamen? El primer periodo obligatorio es el ejercicio 2028, del 1 de enero al 31 de diciembre de 2028. Su dictamen debe estar listo a más tardar el último día hábil de marzo de 2029. No obstante, la evidencia que ese dictamen revisa se genera durante todo 2028, así que el trabajo real empieza mucho antes de esa fecha de entrega.

¿Basta con tener el manual y los documentos para aprobar la auditoría? No. El Acuerdo 115 desplaza el eje del “cumplimiento formal” a la gestión efectiva del riesgo. La auditoría verifica que los controles operen, no solo que existan en papel. Un manual que nadie aplica, expedientes incompletos o alertas sin seguimiento son observaciones, aunque tengas los documentos archivados.

Conclusión

La auditoría anual del Acuerdo 115 no es un trámite más: es el mecanismo con el que la autoridad comprobará que tu cumplimiento PLD funciona de verdad. Tiene un periodo claro —del 1 de enero al 31 de diciembre—, un plazo cerrado —el último día hábil de marzo del año siguiente— y un criterio que define tu logística y tu presupuesto: área interna si eres riesgo bajo o medio, auditor externo independiente certificado por la UIF si eres riesgo alto.

El primer periodo auditado es 2028, pero esa fecha engaña. Aprobar esa auditoría depende de la evidencia que construyas desde 2027, cuando entren en operación la matriz de riesgo, el manual, la clasificación de clientes, los mecanismos automatizados y la capacitación. Llegar listo al dictamen es, sobre todo, un problema de orden y trazabilidad resuelto durante el año, no de última hora. Si quieres profundizar en cómo se prepara una revisión, revisa nuestra guía para preparar una auditoría PLD en México, y no dejes tu clasificación de riesgo para el final: es la que decide todo lo demás.