Personas Políticamente Expuestas (PEPs) en México: cómo identificarlas y gestionarlas

El concepto de Persona Políticamente Expuesta nació del reconocimiento de un fenómeno documentado en múltiples jurisdicciones: las personas que ejercen o han ejercido cargos públicos de relevancia tienen acceso privilegiado a recursos del Estado, a procesos de contratación, a licencias y a decisiones regulatorias que pueden traducirse en enriquecimiento ilícito. Cuando ese enriquecimiento existe, el sistema financiero es el canal natural para lavarlo.

Un PEP no es, por definición, una persona corrupta. La gran mayoría de los funcionarios públicos actúa con integridad. La categoría PEP es una clasificación de riesgo, no una acusación: indica que esta persona, por la naturaleza de su cargo, tiene mayor exposición a situaciones que pueden generar recursos de origen ilícito y, por tanto, merece una atención más cuidadosa en el contexto del cumplimiento PLD.

Esta guía explica cómo define la regulación mexicana a los PEPs, qué medidas exige para gestionarlos, cómo implementar esas medidas de forma efectiva y dónde están los límites de la obligación.

Definición legal de PEP en México: quién califica y quién no

La regulación mexicana define a las Personas Políticamente Expuestas a través de las Disposiciones de Carácter General emitidas por la CNBV para cada sector financiero, con variaciones menores entre sectores pero una estructura común. La definición está alineada con los estándares del GAFI, cuya Recomendación 12 establece los lineamientos internacionales para el tratamiento de PEPs.

En términos generales, califica como PEP quien ocupa o ha ocupado, en los últimos dos años, alguno de los siguientes cargos:

Cargos del Poder Ejecutivo Federal:

Presidente de la República
Secretarios y Subsecretarios de Estado
Directores generales de entidades paraestatales y organismos descentralizados
Jefes de unidades administrativas de nivel superior en dependencias federales
Embajadores y Cónsules Generales

Cargos del Poder Legislativo Federal:

Senadores de la República
Diputados federales
Secretarios generales de las cámaras

Cargos del Poder Judicial Federal:

Ministros de la Suprema Corte de Justicia
Magistrados del Tribunal Electoral del Poder Judicial
Magistrados de Circuito y Jueces de Distrito (en algunas disposiciones)

Cargos estatales y municipales:

Gobernadores
Presidentes municipales de municipios con relevancia económica
Secretarios de gobierno estatales
Titulares de órganos fiscalizadores estatales

Organismos autónomos:

Consejeros y titulares del INE, INAI, Banxico, CNDH, entre otros

Cargos militares y de seguridad de alto nivel:

Generales y almirantes
Titulares de cuerpos de seguridad pública federal y estatal

Dirigentes de partidos políticos con registro ante el INE.

La lista anterior no es exhaustiva: las disposiciones establecen rangos y niveles, y la interpretación de si un cargo específico califica como PEP requiere un análisis de su jerarquía, su acceso a recursos públicos y su capacidad de influir en decisiones de relevancia económica.

Quien no califica como PEP: los servidores públicos de nivel operativo, técnico o administrativo que no tienen acceso privilegiado a recursos o decisiones de relevancia; los empleados de empresas privadas que trabajan como contratistas del gobierno sin ocupar cargo público; los candidatos a cargos públicos que aún no han tomado posesión.

Tipos de PEPs

PEPs domésticos

Son las personas que ejercen o han ejercido cargos públicos en México. Son los más directamente relevantes para la mayoría de las entidades financieras mexicanas.

PEPs extranjeros

Son las personas que ejercen o han ejercido cargos públicos equivalentes en otros países. Su relevancia depende del perfil de negocio: una empresa con operaciones internacionales, que atiende clientes multinacionales o que opera en sectores con alta participación extranjera, tendrá mayor probabilidad de encontrar PEPs extranjeros en su cartera.

PEPs de organizaciones internacionales

Funcionarios de alto nivel de organismos internacionales como el FMI, el Banco Mundial, el BID, la ONU y organismos similares. Aplica el mismo principio: el cargo les da acceso a recursos y decisiones que pueden ser fuente de corrupción.

Familiares y allegados

Esta categoría es una de las más complejas y más relevantes desde el punto de vista del riesgo real. Las personas relacionadas con un PEP —su cónyuge, sus hijos, sus padres, sus hermanos y sus socios de negocios cercanos— pueden ser utilizadas para triangular el lavado de recursos del funcionario, precisamente porque no tienen el perfil de riesgo obvio de quien ocupa el cargo.

La regulación mexicana exige que la debida diligencia reforzada se extienda a los familiares y allegados del PEP en los mismos términos que al PEP mismo. La definición de “allegado” es amplia y puede incluir personas que, aunque no tienen parentesco familiar, tienen una relación comercial, societaria o de amistad cercana documentada con el PEP.

¿Por qué los PEPs representan mayor riesgo?

El riesgo elevado de los PEPs no es una suposición arbitraria: tiene base empírica en décadas de investigaciones de lavado de dinero en México y en el mundo. Los casos más sonados de lavado de dinero vinculados a la corrupción pública —desde el Pemexgate hasta operaciones de desvío de recursos en secretarías de salud estatales— han involucrado sistemáticamente el uso del sistema financiero para mover y legitimar los recursos obtenidos ilícitamente.

La ley mexicana reconoce esto explícitamente: las disposiciones de la CNBV califican a los PEPs como clientes de alto riesgo por definición, sin importar el análisis individual de su situación. Esta clasificación automática significa que las medidas de debida diligencia reforzada aplican desde el momento en que se identifica a la persona como PEP, sin necesidad de encontrar indicios adicionales de irregularidad.

Desde el punto de vista práctico, el riesgo específico de los PEPs incluye:

Recepción de recursos derivados de actos de corrupción, tráfico de influencias o desvío de recursos públicos.
Uso del sistema financiero para ocultar activos no declarados en su declaración patrimonial.
Transferencia de recursos a familiares o allegados para dispersar el rastro financiero.
Uso de personas morales —empresas, fideicomisos— para interponer capas entre el PEP y los recursos.

El proceso de identificación: cuándo y cómo verificar si alguien es PEP

La identificación de PEPs debe ocurrir en dos momentos:

En el onboarding: Antes de iniciar la relación de negocio, la empresa debe verificar si el cliente, sus representantes legales y sus beneficiarios controladores son PEPs. Esto se hace mediante declaración del propio cliente y, de forma independiente, mediante consulta de bases de datos y fuentes públicas.

No es suficiente preguntar “¿es usted funcionario público?” y registrar la respuesta. La declaración del cliente es un insumo, pero debe complementarse con verificación independiente: consulta de directorios de funcionarios públicos, bases de datos de PEPs, noticias y fuentes de información pública. Si hay discrepancia entre lo que el cliente declara y lo que la verificación revela, esa discrepancia es en sí misma una señal de alerta.

Durante la relación: Un cliente que en el onboarding no era PEP puede convertirse en uno si es elegido o designado para un cargo público durante la vigencia de la relación. El monitoreo continuo debe incluir mecanismos para detectar este cambio: alertas de noticias, revisiones periódicas de la base de clientes contra listas de PEPs actualizadas.

La frecuencia de la verificación continua depende del perfil de riesgo del cliente: para clientes de bajo riesgo, una revisión anual puede ser suficiente; para clientes de mayor riesgo o en sectores con alta rotación de funcionarios públicos, la verificación debe ser más frecuente.

Due diligence reforzado para PEPs: qué medidas adicionales debes aplicar

Cuando se confirma que un cliente es PEP, el programa de cumplimiento debe activar un conjunto de medidas adicionales que van más allá del KYC estándar:

Aprobación por instancia superior

La admisión de un PEP como cliente no puede ser una decisión del analista o del ejecutivo de cuenta. Las disposiciones exigen que sea aprobada por el oficial de cumplimiento o por una instancia aún más alta: comité de cumplimiento, comité de dirección o el propio director general, dependiendo de lo que establezca la política interna. Esta aprobación debe quedar documentada.

Declaración de origen de fondos

Se debe obtener del PEP una declaración, con documentación de soporte, sobre el origen de los recursos que manejará a través de la institución. Esta declaración debe ser razonable y verificable: no es suficiente que el funcionario diga “mis ahorros provienen de mi salario como funcionario” si el monto de esos ahorros no es consistente con el salario que corresponde al cargo.

Verificación de congruencia patrimonial

En la medida en que sea posible, la situación financiera del PEP debe compararse con la información pública disponible: declaraciones patrimoniales publicadas por la Secretaría de la Función Pública a través del sistema de Declaración Patrimonial y de Intereses. Si hay discrepancias significativas entre lo declarado ante la SFP y lo que el PEP presenta a la institución financiera, eso es una señal de alerta de primer orden.

Monitoreo reforzado de transacciones

Las transacciones de los PEPs deben monitorearse con mayor frecuencia y con umbrales de alerta más bajos que los que se aplican a clientes ordinarios. El patrón esperado de un funcionario público es relativamente predecible: ingresos salariales periódicos, gastos ordinarios, posiblemente ingresos por actividades profesionales previas al cargo. Cualquier desviación significativa de ese patrón merece atención inmediata.

Revisión periódica del expediente

El expediente de un PEP debe revisarse con mayor frecuencia que el de un cliente estándar. Las disposiciones de la CNBV suelen establecer revisiones anuales para PEPs como mínimo, aunque la política interna puede establecer revisiones más frecuentes.

Monitoreo continuo de relaciones con PEPs

El monitoreo de un cliente PEP no termina cuando termina su cargo. La regulación establece que las medidas de debida diligencia reforzada se mantienen durante un período posterior al ejercicio del cargo —generalmente dos años— porque los riesgos asociados con el cargo no desaparecen de forma inmediata cuando la persona deja de ser funcionario.

Durante ese período de gracia, el nivel de monitoreo puede reducirse gradualmente conforme el tiempo transcurre y el cliente demuestra un comportamiento consistente con su nuevo perfil. Pero la transición de “PEP” a “no PEP” debe ser documentada y fundamentada, no automática.

Los eventos que deben activar una revisión extraordinaria del expediente de un PEP, independientemente del calendario de revisiones periódicas, incluyen:

Noticias o investigaciones públicas que vinculen al funcionario con actos de corrupción.
Cambios significativos en el comportamiento transaccional (aumentos o disminuciones súbitas).
Cambio de cargo que implique una modificación del perfil de riesgo (ascenso a un cargo de mayor relevancia).
Término anticipado del cargo (destitución, renuncia bajo presión).

¿Cómo documentar el manejo de un PEP ante una auditoría?

La documentación del expediente de un PEP debe ser más robusta que la de un cliente ordinario, precisamente porque el nivel de escrutinio regulatorio es mayor. El expediente debe contener:

La evidencia de que se realizó la verificación de PEP, incluyendo qué fuentes se consultaron y cuándo.
La declaración de cargo del cliente (o su declaración de no ser PEP, en el caso de que la verificación lo confirme).
La declaración de origen de fondos con documentación de soporte.
El análisis de congruencia patrimonial realizado.
La aprobación de la instancia superior correspondiente, con fecha y firma.
Los registros de las revisiones periódicas del expediente: cuándo se revisó, quién lo hizo, qué se encontró, qué se decidió.
Los registros de alertas de monitoreo generadas, analizadas y resueltas.

Este expediente debe ser recuperable por nombre del cliente y debe conservarse durante el plazo que establece la regulación aplicable —generalmente diez años desde el cierre de la relación.

¿Puedes rechazar a un PEP como cliente?

Sí. La obligación de aplicar medidas de debida diligencia reforzada no implica la obligación de aceptar a cualquier PEP que solicite servicios. La empresa tiene el derecho —y en algunos casos la obligación— de rechazar la relación de negocio cuando el riesgo que representa el cliente no puede ser gestionado adecuadamente.

Los fundamentos para rechazar a un PEP como cliente pueden ser:

El origen de los fondos no puede ser verificado o es incongruente con el cargo y el historial del funcionario.
El cliente se niega a proporcionar la información requerida para la debida diligencia reforzada.
El análisis de la evaluación basada en riesgo concluye que el tipo de operaciones que el cliente desea realizar supera el apetito de riesgo de la institución.
El cliente está vinculado, aunque no sea de forma directa, con personas que sí aparecen en listas de sancionados.

El rechazo debe documentarse con el análisis que lo sustenta. No es necesario comunicar al cliente la razón específica del rechazo —y en algunos casos hacerlo podría constituir un delito de “tipping off”— pero el expediente interno debe registrar claramente la decisión y su fundamento.

La distinción entre rechazo por análisis de riesgo y discriminación es conceptualmente clara: el rechazo por riesgo PLD se basa en la evaluación objetiva del riesgo que representa el cliente, no en características personales protegidas. Sin embargo, en la práctica, la línea puede ser delgada cuando el cargo del funcionario está asociado con comunidades o grupos específicos. La documentación objetiva del análisis de riesgo es la mejor protección ante cualquier cuestionamiento.

El reto de los familiares y allegados: hasta dónde llega la obligación

La extensión de las medidas de debida diligencia reforzada a los familiares y allegados del PEP es una de las áreas más complejas de la gestión de PEPs.

La regulación exige identificar y aplicar medidas reforzadas al cónyuge, a los hijos y a los socios de negocios cercanos del PEP. Pero la identificación de estas personas presenta desafíos prácticos: ¿cómo saber si el cliente que tengo enfrente es el hijo de un gobernador si no me lo dice y no hay una base de datos pública que lo diga?

La respuesta práctica combina tres herramientas:

Declaración del cliente: En el proceso de KYC, preguntar directamente si algún familiar o persona cercana ocupa o ha ocupado cargos públicos. Esta pregunta es estándar en los formularios de vinculación de cualquier entidad regulada en México.

Bases de datos de PEPs y redes de parentesco: Las soluciones tecnológicas de screening incluyen bases de datos que relacionan a los PEPs con sus familiares y allegados conocidos, compiladas a partir de fuentes públicas. Estas bases no son exhaustivas, pero cubren los casos de mayor visibilidad pública.

Noticias y fuentes de información adversa: Los medios de comunicación son una fuente valiosa para detectar relaciones de parentesco o asociación entre clientes y PEPs. Los sistemas modernos de screening incluyen componentes de análisis de medios adversos que buscan de forma automatizada menciones de los clientes en contextos de riesgo.

La diligencia razonable en esta área implica usar todas las herramientas disponibles, documentar el proceso y tomar una decisión informada. La obligación no es de resultado —encontrar a todos los familiares de todos los PEPs del mundo— sino de proceso: aplicar medidas razonables y sistemáticas para identificarlos.

Herramientas tecnológicas para la identificación y monitoreo de PEPs

La gestión manual de PEPs es viable para carteras muy pequeñas, pero se vuelve impráctica rápidamente conforme crece el número de clientes. La tecnología es el habilitador crítico de un programa de PEPs que sea a la vez completo y operacionalmente sostenible.

Un buen sistema de gestión de PEPs debe incluir:

Base de datos de PEPs actualizada: Con cobertura de PEPs domésticos y extranjeros, incluyendo familiares y allegados. La base debe actualizarse con frecuencia suficiente para reflejar cambios en los cargos públicos —elecciones, designaciones, destituciones.

Screening automático en onboarding: Al ingresar los datos de un nuevo cliente, el sistema consulta automáticamente la base de PEPs y genera una alerta si hay coincidencia. El oficial de cumplimiento recibe la alerta con toda la información relevante para tomar la decisión de aprobación.

Monitoreo continuo de la cartera: El sistema re-verifica periódicamente a los clientes activos contra la base de PEPs, detectando cuando alguien que antes no era PEP ahora lo es por haber asumido un cargo público.

Alertas de noticias adversas: Integración con fuentes de medios que detecta automáticamente cuando un cliente aparece en noticias relacionadas con corrupción, investigaciones judiciales o señalamientos públicos.

Flujo de trabajo de aprobación documentado: El sistema debe guiar al analista a través del proceso de due diligence reforzado, asegurando que todos los pasos se completen antes de que el expediente pueda ser enviado a aprobación.

Trazabilidad completa: Cada verificación, cada alerta, cada decisión de aprobación o rechazo queda registrada de forma auditable.

Regcheq cuenta con un módulo de PEPs que integra estas funcionalidades: base de datos de PEPs mexicanos y extranjeros con actualización periódica, screening en el flujo de onboarding, monitoreo continuo de la cartera y flujo de trabajo de aprobación documentado. Para equipos de compliance que manejan carteras medianas y grandes, la diferencia entre un proceso manual y uno automatizado es, en la práctica, la diferencia entre un programa de PEPs que funciona y uno que existe solo en el papel.

Preguntas frecuentes

¿Un candidato político que aún no ha ganado las elecciones es PEP? No. La condición de PEP se adquiere con el ejercicio del cargo, no con la candidatura. Sin embargo, si el análisis de riesgo sugiere que la persona tiene alta probabilidad de ganar y acceder al cargo —un candidato en primera posición para una gubernatura, por ejemplo— es razonable anticipar el proceso de due diligence reforzado.

¿Cuánto tiempo después de dejar el cargo sigue siendo alguien un PEP? Las disposiciones mexicanas establecen generalmente dos años desde el término del cargo como período durante el cual se mantienen las medidas de due diligence reforzado. Este período puede extenderse si existen investigaciones activas o señalamientos vinculados al ejercicio del cargo.

¿Un funcionario municipal de un municipio pequeño es PEP? Depende. Las disposiciones suelen establecer criterios de relevancia: no todos los presidentes municipales califican automáticamente. Los de municipios de relevancia económica significativa, o los de municipios en zonas de alto riesgo, pueden calificar. La decisión debe documentarse y fundamentarse en la política interna.

¿Estoy obligado a reportar a las autoridades cuando detecto que un PEP es cliente mío? No automáticamente. El hecho de que un cliente sea PEP no es reportable en sí mismo: lo que se reporta son las operaciones inusuales que ese PEP realice y que no puedan ser explicadas razonablemente por su perfil. La detección de que un cliente es PEP activa las medidas de due diligence reforzado, no un reporte automático.

¿Cómo determino si alguien es “allegado” de un PEP? La regulación no da una definición matemáticamente precisa de “allegado cercano”. Los criterios que se aplican en la práctica incluyen: participación societaria conjunta en empresas, mandatos o poderes notariales, relaciones comerciales documentadas de larga data, asociación pública frecuente, o nexos familiares no de primer grado (primos, cuñados) con evidencia de relación estrecha. La documentación del análisis que llevó a la conclusión de que alguien es o no es allegado es lo que protege a la empresa ante una auditoría.

La gestión de PEPs es uno de los componentes del PLD donde la distancia entre el cumplimiento formal y el cumplimiento efectivo es más visible. Un programa que solo pregunta “¿es usted funcionario público?” y registra la respuesta existe en el papel pero no gestiona el riesgo real. Un programa que verifica de forma independiente, aplica medidas adicionales proporcionales al riesgo, monitorea continuamente y documenta cada decisión es el que efectivamente cumple con la obligación que la ley y los estándares internacionales establecen.