PEP bajo el Acuerdo 115: identificación y monitoreo de personas políticamente expuestas

Las personas políticamente expuestas siempre han sido un punto sensible del cumplimiento PLD en México. Lo nuevo no es el concepto, sino la exigencia operativa que trae el Acuerdo 115/2026: la regla convierte el trato reforzado a las PEP en una obligación con estándar funcional, integrada al enfoque basado en riesgo y automatizada dentro de los mecanismos de monitoreo. Ya no es un buen deseo del manual; es un requisito que la autoridad podrá revisar función por función.

Este artículo explica qué implica el Acuerdo 115 específicamente para las PEP: qué es una PEP en lenguaje claro, por qué la regla las considera riesgo elevado, y cómo se identifican y monitorean bajo el nuevo marco. Es un complemento del contenido evergreen sobre PEP en México —ahí está la definición legal detallada, los tipos y el due diligence clásico—; aquí nos concentramos en lo que cambia. El Acuerdo no inventa la obligación de identificar PEP, que ya existía en las Reglas de Carácter General: la amarra al giro de fondo de la reforma —del cumplimiento formal a la gestión efectiva del riesgo— y exige que se ejecute dentro de un sistema, no en una lista suelta de Excel.

¿Qué es una persona políticamente expuesta (PEP)?

Una persona políticamente expuesta es aquella que desempeña o desempeñó funciones públicas relevantes, tanto en México como en el extranjero o en organizaciones internacionales. La categoría se extiende a sus familiares cercanos y a las personas con las que mantiene vínculos estrechos, porque a través de ellos podría canalizarse el uso indebido de recursos públicos.

En términos prácticos, calificarían como PEP —entre otros— quienes ocupan altos cargos de gobierno, legisladores, jueces de tribunales superiores, altos mandos militares, directivos de empresas del Estado y funcionarios de partidos con responsabilidad relevante. La lógica no es presumir que una PEP sea delincuente: es reconocer que su posición le da acceso, influencia y capacidad de disponer de recursos que la vuelven un vector de riesgo más alto para el lavado de dinero y la corrupción.

La distinción entre PEP nacional, extranjero y de organización internacional, y el alcance de “familiares y allegados”, están desarrollados en la guía de PEP en México. Para el Acuerdo 115 lo importante es que el concepto no se toca: lo que cambia es la intensidad y la trazabilidad del trato que debes darle.

¿Qué cambia el Acuerdo 115 para las PEP?

El Acuerdo 115 reforma las Reglas de Carácter General de la LFPIORPI y aplica a todas las actividades vulnerables del Artículo 17, sin importar su tamaño. Para las PEP, tres cambios concretos son los que debes tener presentes:

1. La PEP queda integrada al enfoque basado en riesgo (EBR). El Acuerdo obliga a clasificar a cada cliente en riesgo bajo, medio o alto mediante una matriz de riesgo. La condición de PEP es un factor que empuja la clasificación hacia riesgo alto, y esa clasificación no es una etiqueta decorativa: determina las medidas que debes aplicar.
2. Se exigen medidas reforzadas de forma explícita. Para el riesgo alto —donde suelen caer las PEP—, la regla pide conocer el origen y el destino de los recursos. No es opcional ni queda al criterio suelto del oficial: es la respuesta que la metodología debe activar cuando el riesgo lo amerita.
3. El monitoreo se automatiza. El Artículo 41 obliga a operar mecanismos automatizados que incluyan un sistema de alertas específico para riesgo alto y PEP. La vigilancia de estos clientes deja de depender de que alguien recuerde revisarlos a mano.

El calendario importa. La entrada en vigor general del Acuerdo es el 30 de noviembre de 2026; el enfoque basado en riesgo, la matriz y la clasificación de clientes, desde el 1 de marzo de 2027; y los mecanismos automatizados del Artículo 41 —incluido el sistema de alertas de riesgo alto y PEP— desde el 1 de junio de 2027. El orden no es casual: primero defines cómo clasificas el riesgo de una PEP, después automatizas su vigilancia.

¿Por qué las PEP se consideran de riesgo elevado?

La razón es la exposición, no una presunción de culpabilidad. Una persona con funciones públicas relevantes tiene acceso a recursos públicos, capacidad de decisión sobre contrataciones y presupuestos, e influencia para mover operaciones sin el escrutinio que enfrentaría un particular. Ese conjunto de atributos es exactamente lo que el lavado de dinero y la corrupción buscan aprovechar. Por eso el estándar internacional —y la regulación mexicana que lo recoge— trata a las PEP con escrutinio mayor: no para negarles el acceso a servicios, sino para conocer mejor el origen de sus recursos y vigilar sus movimientos con más atención que los de un cliente promedio.

El Acuerdo 115 formaliza esa lógica dentro del enfoque basado en riesgo. Una PEP entra al sistema con una bandera que eleva su nivel de riesgo, y ese nivel activa automáticamente el paquete de medidas reforzadas. La diferencia con el pasado es que ahora ese trato debe ser demostrable: si el SAT o la UIF revisan tu expediente, tienes que poder mostrar que la PEP recibió el escrutinio que la regla ordena.

¿Cómo se identifica a una PEP bajo el Acuerdo 115?

La identificación de una PEP no es un paso aislado: forma parte de la debida diligencia y se conecta con la identificación del beneficiario controlador. El proceso, bajo el marco del Acuerdo 115, se sostiene en los siguientes pasos:

1. Recabar la información en el onboarding. Al integrar el expediente único de identificación, debes determinar si el cliente, su beneficiario controlador o algún vínculo relevante es PEP. Esto suele incluir una declaración del propio cliente, complementada con verificación independiente.
2. Cruzar contra fuentes y listas. La declaración no basta. La identificación robusta contrasta al cliente y a sus allegados contra listas de PEP, listas de sanciones y fuentes de información pública, para detectar tanto a quien no se declara como a los familiares y allegados que el cliente podría omitir.
3. Clasificar el riesgo en la matriz. Una vez identificada la condición de PEP, esa variable alimenta la matriz de riesgo y, por lo general, ubica al cliente en riesgo alto, lo que dispara las medidas reforzadas.
4. Documentar y conservar. El resultado de la identificación, su justificación y el soporte deben quedar en el expediente único, que se conserva por diez años. La trazabilidad es lo que te permite defender tu criterio ante una revisión.

El reto de los familiares y allegados —hasta dónde llega la obligación de rastrear vínculos— es real y está tratado con más detalle en la guía de PEP. Bajo el Acuerdo 115, la clave es que la identificación no sea un trámite de una sola vez: debe poder actualizarse cuando un cliente que no era PEP asume un cargo relevante, o cuando cambia la estructura de control de una persona moral.

¿Cómo se monitorea a una PEP con el sistema de alertas del Artículo 41?

Aquí está el corazón de lo que cambia. El Artículo 41 del Acuerdo 115 obliga a operar mecanismos automatizados de monitoreo que cumplan seis funciones; la quinta es un sistema de alertas específico para clientes de riesgo alto y personas políticamente expuestas. No es el monitoreo general de todas las operaciones: es un mecanismo de escalamiento reforzado para los dos segmentos que la regulación considera más sensibles.

Para una PEP, esto significa que el sistema no puede tratarla como a un cliente cualquiera. Debe detectarla, generar alertas diferenciadas sobre su operación y escalarla al flujo de atención intensificada que la regla ordena. Una PEP no queda en la misma cola que un cliente de riesgo bajo; recibe vigilancia propia, apoyada en el resto de funciones del Artículo 41: el sistema agrupa sus operaciones por cliente para detectar desviaciones del perfil, ejecuta el modelo de evaluación y conserva el histórico por diez años.

Detectar sin alertar no sirve de nada, y ese es el sentido de la función 5: convertir la vigilancia en acción. Puedes tener perfectamente identificada a una PEP, pero si su operación anómala se pierde en el mismo flujo que el de miles de clientes de riesgo bajo, el control falla justo donde más importa. El Acuerdo 115 cierra esa brecha al exigir que la alerta sea diferenciada y automatizada, no dependiente de la memoria de un analista.

¿Qué medidas reforzadas exige el Acuerdo 115 para una PEP?

Cuando una PEP queda clasificada en riesgo alto, la regla activa un paquete de medidas reforzadas que van más allá de la debida diligencia estándar. Las principales son:

1. Conocer el origen y el destino de los recursos. El Acuerdo 115 es explícito para el riesgo alto: debes entender de dónde vienen los fondos que opera la PEP y hacia dónde van, no solo registrar la operación.
2. Aprobación por instancia superior. El inicio o la continuidad de la relación con una PEP suele requerir la autorización de un nivel jerárquico mayor, de modo que la decisión no recaiga en el operador de mostrador.
3. Verificación de congruencia patrimonial. Contrastar el volumen y tipo de operación contra lo que razonablemente correspondería al perfil declarado de la PEP.
4. Monitoreo reforzado y revisión periódica. Vigilancia continua con alertas propias, y actualización periódica del expediente para captar cambios en el cargo, la estructura o el comportamiento.

Estas medidas ya formaban parte del due diligence reforzado; lo que hace el Acuerdo 115 es integrarlas al enfoque basado en riesgo y exigir que se ejecuten y documenten de forma sistemática. La guía de PEP desarrolla cada una con más detalle operativo.

Regcheq PLD X: screening de PEP y listas con alertas automáticas

Seamos directos con el criterio. El Acuerdo 115 no te va a evaluar por si “tienes una lista de PEP”: te va a evaluar por si identificas a la PEP de forma robusta, la clasificas en tu matriz de riesgo, le aplicas medidas reforzadas y —sobre todo— la monitoreas con el sistema de alertas diferenciado que exige el Artículo 41. Ese es un estándar funcional concreto, no una casilla.

Regcheq PLD X está construido exactamente sobre ese estándar. Ofrece screening de PEP y listas de sanciones para la identificación —incluyendo el cruce de clientes, beneficiarios controladores y allegados—, una matriz de riesgo integrada que clasifica bajo, medio y alto, y un sistema de alertas automáticas que separa a los clientes de riesgo alto y PEP en su propio flujo de vigilancia, con el histórico y la trazabilidad que la auditoría anual va a exigir. Existen otras opciones en el mercado y la decisión es tuya; pero si la regla te va a medir por identificar, clasificar y alertar sobre PEP de forma nativa y auditable, esa es precisamente la cobertura de la plataforma.

Preguntas frecuentes

¿El Acuerdo 115 cambia la definición de persona políticamente expuesta? No. La definición de PEP —quien ejerce o ejerció funciones públicas relevantes, más sus familiares y allegados— se mantiene. Lo que cambia es la exigencia operativa: identificación robusta, clasificación en la matriz de riesgo, medidas reforzadas y monitoreo automatizado con alertas diferenciadas.

¿Puedo tener a una PEP como cliente? Sí. Tener una PEP como cliente no está prohibido; lo que la regla exige es tratarla con escrutinio reforzado: conocer el origen y destino de sus recursos, obtener aprobación de instancia superior cuando aplique y vigilarla de forma intensificada. La condición de PEP no implica rechazo automático.

¿Desde cuándo debo tener el sistema de alertas para riesgo alto y PEP? Es parte de los mecanismos automatizados del Artículo 41, cuya obligación entra en vigor el 1 de junio de 2027. Antes, desde el 1 de marzo de 2027, ya debe operar el enfoque basado en riesgo y la clasificación de clientes que alimenta esas alertas.

¿La condición de PEP siempre implica riesgo alto? En la práctica es un factor de peso que suele ubicar al cliente en riesgo alto. La clasificación final depende de la metodología completa —tu matriz considera varios factores—, pero la condición de PEP difícilmente compatibiliza con una clasificación de riesgo bajo.

¿Basta con la declaración del cliente para identificar a una PEP? No por sí sola. La identificación robusta combina la declaración con la verificación independiente contra listas de PEP y fuentes de información, para captar tanto a quien omite declararse como a los familiares y allegados que el cliente podría no reportar.

Conclusión

El Acuerdo 115 no reinventa qué es una persona políticamente expuesta, pero sí sube la vara sobre cómo debes tratarla. La PEP deja de ser una anotación en el expediente para convertirse en un cliente que tu sistema clasifica en riesgo alto, al que le aplicas medidas reforzadas —origen y destino de los recursos, aprobación superior, congruencia patrimonial— y al que vigilas con un sistema de alertas específico que el Artículo 41 vuelve obligatorio a partir del 1 de junio de 2027. La identificación y el monitoreo de PEP dejaron de ser un ejercicio manual y discrecional para volverse un proceso sistemático, automatizado y auditable.

Para el detalle clásico —tipos de PEP, alcance de familiares y allegados, medidas de due diligence— apóyate en la guía de PEP en México; para ubicar esta obligación dentro del calendario y las seis funciones del monitoreo, revisa el análisis completo del Acuerdo 115/2026. Y cuando evalúes tu software PLD, la pregunta es concreta: ¿identifica, clasifica y alerta sobre PEP de forma nativa, o vas a terminar sosteniéndolo a mano?