Mecanismos automatizados de monitoreo (Art. 41): las 6 funciones del Acuerdo 115

De todas las obligaciones nuevas que trae el Acuerdo 115/2026, la del Artículo 41 es la que marca el punto de no retorno para el papel y las hojas de cálculo. Hasta ahora, muchas actividades vulnerables llevaban su cumplimiento con expedientes en carpetas y un Excel para los avisos. A partir del 1 de junio de 2027, la regla exige que un sistema —un mecanismo automatizado— haga seis cosas específicas, de forma continua y auditable.

Este artículo desarma el Artículo 41 función por función. No como lista de buenos deseos, sino como lo que es: un checklist técnico que el SAT y la UIF podrán revisar. Cada función se explica en su propia sección numerada y autocontenida, para que puedas leer solo la que te interese, citarla o llevarla directo a tu proveedor de tecnología y preguntar: “¿tu sistema hace esto?”.

Antes de entrar, un aclaración de fondo: el mecanismo automatizado no vive solo. Se alimenta de la matriz de riesgo y el enfoque basado en riesgo que ya deben estar operando desde el 1 de marzo de 2027, y ejecuta esa metodología sobre tu cartera real. Por eso el calendario los pone en ese orden: primero defines cómo mides el riesgo, después automatizas su vigilancia.

¿Qué son los mecanismos automatizados de monitoreo del Artículo 41?

Son sistemas informáticos que ejecutan de manera automática la vigilancia PLD de tu operación: conservan expedientes, agrupan operaciones, aplican tu metodología de riesgo, generan alertas y guardan el histórico. El Acuerdo 115 los eleva de “buena práctica” a obligación con estándar funcional definido.

La clave está en la palabra automatizado. La regla no se conforma con que tengas la información; exige que un mecanismo la procese sin depender de que una persona la revise a mano cada vez. Esto es coherente con el giro de todo el Acuerdo: del cumplimiento formal (tener papeles) a la gestión efectiva del riesgo (detectar y actuar). El monitoreo transaccional que antes era diferenciador competitivo, ahora es piso mínimo regulatorio.

Aplica a todas las actividades vulnerables del Artículo 17 de la LFPIORPI, sin importar su tamaño. No hay excepción para el pequeño. Sí hay proporcionalidad en cómo se implementa —una inmobiliaria de tres personas no opera igual que una casa de empeño con cien sucursales—, pero las seis funciones son exigibles a todos.

Función 1: Conservar el expediente único de identificación

La primera función es que el mecanismo conserve el expediente único de identificación de cada cliente. No basta con haber identificado al cliente en el onboarding; el sistema debe custodiar ese expediente de forma íntegra, accesible y por el plazo legal de conservación (diez años).

En la práctica esto significa un repositorio digital donde cada cliente tiene un expediente completo: identificación, datos del beneficiario controlador, clasificación de riesgo, documentos soporte y su historial. El “único” es importante: la regla busca eliminar la dispersión —el mismo cliente con datos en tres carpetas distintas y ninguna completa—. Un solo expediente, una sola versión de la verdad.

Para el oficial de cumplimiento esto resuelve el problema más viejo de las revisiones del SAT: encontrar rápido y completo el expediente que te piden. Si el sistema lo conserva bien, un requerimiento deja de ser una emergencia de dos días buscando papeles.

Función 2: Agrupar operaciones por cliente para detectar desviaciones del perfil

La segunda función exige que el mecanismo agrupe las operaciones por cliente y, sobre esa base, detecte desviaciones respecto de su perfil transaccional. Aquí es donde el monitoreo deja de ser un archivo estático y se vuelve vigilancia dinámica.

El perfil transaccional es la expectativa de comportamiento que construiste al conocer al cliente: cuánto opera, con qué frecuencia, en qué montos, con qué contrapartes. La función 2 pide que el sistema compare la operación real contra esa expectativa y levante la mano cuando algo no cuadra: un cliente que declaró operaciones mensuales de cierto monto y de pronto multiplica su volumen, o cambia radicalmente el tipo de operación.

Sin agrupación por cliente, cada operación se ve aislada y “normal”. Agrupadas, revelan el patrón. Esta es la esencia del monitoreo transaccional: el riesgo casi nunca vive en una operación individual; vive en la desviación del comportamiento a lo largo del tiempo. La regla ahora lo exige de forma automatizada porque a mano, con volumen real, es imposible sostenerlo.

Función 3: Proveer la información de la metodología de riesgo

La tercera función es que el mecanismo provea la información de la metodología de riesgo. Dicho de otro modo: el sistema debe poder mostrar, de forma transparente y documentada, cómo se está clasificando el riesgo de cada cliente y de la operación.

Esto conecta directamente con la matriz de riesgo del enfoque basado en riesgo. La metodología —los factores que consideras, sus pesos, los umbrales que separan riesgo bajo, medio y alto— no puede ser una caja negra. El mecanismo tiene que exponerla: qué variables entraron, qué peso tuvieron, por qué este cliente quedó en riesgo alto y aquel en bajo.

Para efectos de auditoría y de una revisión del SAT o la CNBV, esta trazabilidad es oro. Poder explicar por qué clasificaste a un cliente como lo hiciste es la diferencia entre defender tu criterio y quedar expuesto a que la autoridad presuma discrecionalidad. La función 3 obliga a que esa explicación sea reproducible, no reconstruida a posteriori.

Función 4: Ejecutar el modelo de evaluación y conservar el histórico 10 años

La cuarta función tiene dos partes. Primero, el mecanismo debe ejecutar el modelo de evaluación de riesgo —aplicar activamente la metodología sobre la cartera, no solo describirla—. Segundo, debe conservar el histórico de esas evaluaciones por diez años.

La ejecución significa que el modelo corre y reclasifica: si el comportamiento de un cliente cambia, su nivel de riesgo se recalcula. El riesgo no es una etiqueta que pones una vez en el onboarding y olvidas; es un valor vivo que el sistema actualiza conforme entra información nueva.

El histórico de diez años es lo que muchos subestiman. La regla no pide la foto de hoy; pide la película completa. Debes poder mostrar cómo evolucionó el riesgo de un cliente a lo largo de una década: cuándo subió, cuándo bajó, qué lo detonó. Esto es carga técnica real de almacenamiento y versionado, y es exactamente el tipo de requisito que una hoja de cálculo no puede sostener. Si tu sistema no guarda cada evaluación con su fecha y su justificación, no cumple la función 4.

Función 5: Sistema de alertas para riesgo alto y PEP

La quinta función exige un sistema de alertas específico para clientes de riesgo alto y personas políticamente expuestas (PEP). No es el monitoreo general de la función 2: es un mecanismo de escalamiento reforzado para los dos segmentos que la regulación considera más sensibles.

Para el riesgo alto, el Acuerdo 115 exige medidas reforzadas —conocer el origen y el destino de los recursos—. La función 5 pide que el sistema alerte de forma diferenciada sobre estos clientes, de modo que reciban la atención intensificada que la regla ordena. No pueden quedar mezclados en la misma cola que un cliente de riesgo bajo.

Para las PEP, la exigencia es que el sistema las identifique y las mantenga bajo vigilancia con alertas propias. Una PEP no es sospechosa por definición, pero su exposición obliga a un escrutinio mayor y a aprobación de nivel jerárquico superior. El mecanismo debe soportar ese flujo: detectar, alertar, escalar.

En términos operativos, esta función es la que convierte el monitoreo en acción. Detectar sin alertar no sirve de nada; la función 5 asegura que las señales más importantes lleguen a la persona correcta a tiempo.

Función 6: Monitorear el uso de efectivo y metales preciosos

La sexta función es el monitoreo del uso de efectivo y de metales preciosos. El legislador identifica estos dos vehículos como los de mayor riesgo intrínseco de lavado —el efectivo por su anonimato y trazabilidad limitada; los metales preciosos por su valor concentrado y liquidez— y exige que el sistema los vigile de manera específica.

Esto significa que el mecanismo debe poder identificar, agregar y alertar sobre operaciones en efectivo y con metales preciosos, cruzándolas contra los umbrales aplicables y contra el perfil del cliente. Un cliente que empieza a operar predominantemente en efectivo, o que introduce metales preciosos en operaciones donde antes no aparecían, debe generar señal.

Para actividades vulnerables como joyerías, casas de empeño, comercializadoras de metales o inmobiliarias que reciben pagos en efectivo, esta función no es accesoria: es el centro de su riesgo. La regla la vuelve obligación automatizada porque el control manual del efectivo, a escala, es donde históricamente se han colado las operaciones que después terminan en un caso.

¿Desde cuándo aplican los mecanismos automatizados del Artículo 41?

La obligación del Artículo 41 entra en vigor el 1 de junio de 2027. No es la fecha de entrada en vigor general del Acuerdo 115 (30 de noviembre de 2026), ni la de la matriz de riesgo y el manual de políticas (1 de marzo de 2027). Es un plazo posterior, y el orden no es casual.

El calendario escalonado obliga primero a definir cómo mides el riesgo —enfoque basado en riesgo, matriz, manual y clasificación de clientes desde marzo de 2027— y solo después exige que un mecanismo automatice esa vigilancia, desde junio de 2027. Automatizar una metodología que todavía no existe no tendría sentido; por eso el sistema llega después del método.

Esto te deja una ventana de trabajo clara. Entre la publicación del Acuerdo (agosto de 2026) y junio de 2027 tienes tiempo para elegir e implementar la tecnología. Pero es menos del que parece: implementar un mecanismo que cumpla las seis funciones, migrar expedientes, cargar la metodología y probar las alertas no se hace en una semana. Quien deje la elección de software PLD para mayo de 2027 va a llegar tarde.

Regcheq PLD X: las 6 funciones del Artículo 41, de forma nativa

Aquí conviene ser directo. El Artículo 41 no describe una aspiración: describe, casi con precisión de manual técnico, lo que Regcheq PLD X ya ejecuta. No es adaptación forzada al Acuerdo 115: es su terreno.

Función por función: (1) conserva el expediente único de identificación en un repositorio central; (2) agrupa operaciones por cliente y detecta desviaciones del perfil transaccional; (3) provee de forma transparente la información de la metodología de riesgo; (4) ejecuta el modelo de evaluación y conserva el histórico con el versionado que exige el plazo de diez años; (5) genera alertas diferenciadas para clientes de riesgo alto y PEP, con screening de listas; y (6) monitorea de manera específica el uso de efectivo y metales preciosos.

Existen otras opciones en el mercado, y la decisión es tuya. Pero seamos honestos con el criterio: si la regla te va a evaluar por seis funciones concretas, la pregunta correcta no es “¿tiene monitoreo?”, sino “¿cumple las seis, de forma nativa y auditable?”. Ahí es donde Regcheq PLD X está construido exactamente sobre el estándar que el Artículo 41 va a exigir, sin desarrollos a la medida ni fricción de última hora.

Preguntas frecuentes

¿El Artículo 41 obliga a comprar un software específico? No obliga a una marca, pero sí a un estándar funcional. El mecanismo —sea cual sea— debe cumplir las seis funciones de forma automatizada y auditable. En la práctica, sostener esas seis funciones con hojas de cálculo y expedientes en papel es inviable, por lo que la regla empuja de facto hacia una plataforma tecnológica.

¿Aplica igual a una actividad vulnerable pequeña? Sí. Las seis funciones son exigibles a todas las actividades vulnerables del Artículo 17, sin excepción por tamaño. Lo que varía es la escala y complejidad de la implementación, no la obligación en sí.

¿Qué pasa si en junio de 2027 no tengo el mecanismo operando? Estarías en incumplimiento de una obligación vigente, expuesto a las sanciones de la LFPIORPI. Además, sin el mecanismo no podrías sostener el resto del programa —clasificación de riesgo, alertas, conservación—, lo que agrava tu exposición ante una revisión del SAT.

¿El histórico de diez años es de operaciones o de evaluaciones de riesgo? La función 4 se refiere a conservar el histórico de las evaluaciones del modelo de riesgo por diez años. Esto se suma al deber general de conservación documental que ya existe. El sistema debe poder mostrar cómo evolucionó el nivel de riesgo de cada cliente en el tiempo, no solo su clasificación actual.

¿En qué orden debo prepararme? Primero la matriz de riesgo y el enfoque basado en riesgo (marzo 2027), porque el mecanismo ejecuta esa metodología. Después, la implementación del mecanismo automatizado (junio 2027). Elegir la tecnología con anticipación te permite que ambas piezas encajen sin rehacer trabajo.

Conclusión

El Artículo 41 es la obligación que convierte todo el Acuerdo 115 en algo operable. Las políticas, la matriz y el manual definen qué debes vigilar; el mecanismo automatizado es cómo lo vigilas todos los días, a la escala y velocidad que la operación real exige. Sus seis funciones no son sugerencias: son el checklist con el que el SAT y la UIF podrán medir tu cumplimiento a partir del 1 de junio de 2027.

La buena noticia es que tienes tiempo —pero no tanto—. Entre hoy y junio de 2027 hay margen para elegir e implementar la tecnología con calma, siempre que empieces por definir tu metodología de riesgo y no dejes la decisión del sistema para el último trimestre. Lee el análisis completo del Acuerdo 115/2026 para ubicar el Artículo 41 dentro del calendario general, y usa las seis funciones de este artículo como el criterio con el que evalúes cualquier plataforma. La pregunta es simple: ¿las cumple todas, de forma nativa?