Ya salieron las Reglas de Carácter General: qué hacer ahora (plan por fases)

Ya no hay incertidumbre. Las reglas de carácter general de la LFPIORPI que llevaban más de un año pendientes se publicaron: el Acuerdo 115/2026 salió en el Diario Oficial de la Federación el 7 de agosto de 2026 y entra en vigor el 30 de noviembre de 2026, con obligaciones escalonadas hasta 2028. Si quieres el análisis normativo a fondo —qué capítulos se adicionan, cómo se reforma cada artículo, qué dicen los transitorios— eso está en nuestro pilar sobre el Acuerdo 115/2026.

Este artículo es distinto. No es teoría: es el plan de acción. Si eres oficial de cumplimiento, dueño de un negocio que cae en el Artículo 17 o responsable de PLD, lo que necesitas ahora es saber qué hacer primero, qué segundo y qué puede esperar. Porque el error más común frente a una reforma de este tamaño no es incumplir por mala fe: es paralizarse ante las 11 secciones nuevas y no empezar por ningún lado.

La buena noticia es que el propio Acuerdo te da el orden. El calendario escalonado no es un obstáculo, es tu hoja de ruta. Aquí lo convertimos en fases accionables.

¿Por dónde empiezo ahora que salió el Acuerdo 115?

Empieza por entender que no todo vence al mismo tiempo. El Acuerdo 115 aplica a todas las actividades vulnerables del Artículo 17, sin importar el tamaño del negocio, y su lógica de fondo es un giro del “cumplimiento formal” a la gestión efectiva del riesgo. Pero las obligaciones más pesadas —matriz de riesgo, mecanismos automatizados, auditoría— tienen fechas distintas. Trabajar todo de golpe es la receta para no terminar nada.

El plan que tiene más sentido, según lo que hemos visto acompañar a sujetos obligados en reformas anteriores, se organiza en cinco fases atadas a las fechas del calendario:

1. Fase 0 (ahora – 30 de noviembre de 2026): lectura, diagnóstico de brechas y arranque de captura de datos.
2. Fase 1 (hacia el 1 de marzo de 2027): matriz de riesgo, Manual de Políticas Internas y clasificación de clientes.
3. Fase 2 (hacia el 1 de junio de 2027): mecanismos automatizados de monitoreo del Artículo 41.
4. Fase 3 (durante 2027): primer ciclo de capacitación anual.
5. Fase 4 (2028): primer ejercicio sujeto a auditoría anual.

Cada fase se apoya en la anterior. Si haces bien el diagnóstico ahora, la matriz de 2027 sale casi sola. Vamos una por una.

Fase 0: qué hacer antes del 30 de noviembre de 2026

Esta es la fase que todos subestiman porque “todavía no vence nada”. Craso error: es la fase que decide si llegas cómodo o corriendo a marzo de 2027. Lo que tienes que hacer entre hoy y la entrada en vigor:

1. Lee el Acuerdo 115 completo —o al menos nuestro pilar con el desglose— y ubica cuáles de los 11 capítulos nuevos te aplican según tu actividad vulnerable.
2. Haz un diagnóstico de brechas honesto. Compara lo que ya haces contra lo que exige el Acuerdo: ¿identificas al beneficiario controlador con el umbral de más del 25%? ¿Tienes al representante de cumplimiento designado? ¿Conservas expedientes 10 años? ¿Tu manual está vigente o quedó congelado en 2020?
3. Empieza a acumular los 12 meses de datos que la metodología de riesgo va a exigir. La matriz del 1 de marzo de 2027 pide histórico; si empiezas a capturar hoy, en marzo tendrás la base. Si empiezas en marzo, no tendrás nada que analizar.
4. Depura tu padrón de clientes. Antes de clasificar por riesgo necesitas expedientes completos. Aprovecha estos meses para cerrar los huecos de identificación que hoy tienes abiertos.
5. Nombra a un responsable del proyecto y arma un mini-cronograma interno con las cinco fases. Sin un dueño del proceso, el calendario escalonado se convierte en una lista de pendientes que nadie mueve.

Nada de esto requiere que las obligaciones de fondo ya estén vencidas. Es preparación pura, y es la que más rinde. Si quieres una checklist más detallada de esta etapa, la desarrollamos en cómo prepararte para las reglas de carácter general.

Fase 1: qué preparar para el 1 de marzo de 2027

Aquí convergen las tres obligaciones de fondo. Si te quedas con una sola fecha del calendario, que sea esta. Para el 1 de marzo de 2027 debes tener listo:

1. Tu metodología de evaluación con enfoque basado en riesgo (EBR). No es un formato que entregue la autoridad: cada sujeto obligado diseña la suya. Debe clasificar a los clientes en riesgo bajo, medio y alto y documentar los mitigantes de cada nivel. Para riesgo alto, medidas reforzadas: conocer el origen y el destino de los recursos.
2. Tu Manual de Políticas Internas actualizado, ahora como figura formal y obligatoria, con la metodología de riesgo integrada. Si tu manual es genérico o quedó desactualizado, este es el momento de rehacerlo.
3. Tu clasificación de clientes operando. El grado de riesgo y el perfil transaccional aplican a los actos realizados desde esa fecha. No puedes clasificar el 1 de marzo si no tienes los expedientes cerrados desde antes —por eso la Fase 0 importa tanto.

El orden dentro de esta fase también cuenta: primero la metodología de riesgo, porque el manual la referencia y la clasificación de clientes la aplica. Si intentas escribir el manual antes de definir cómo mides el riesgo, lo vas a reescribir dos veces.

Fase 2: mecanismos automatizados para el 1 de junio de 2027

El Artículo 41 obliga a tener, a más tardar el 1 de junio de 2027, mecanismos automatizados de monitoreo que cumplan seis funciones:

1. Conservar el expediente único de identificación.
2. Agrupar operaciones por cliente para detectar desviaciones del perfil transaccional.
3. Proveer la información de la metodología de riesgo.
4. Ejecutar el modelo de evaluación y conservar el histórico 10 años.
5. Disparar alertas para clientes de riesgo alto y personas políticamente expuestas (PEP).
6. Monitorear el uso de efectivo y metales preciosos.

Las reglas admiten que esto puede ir desde un sistema especializado hasta procesos apoyados en hojas de cálculo, siempre que cumpla la función y sea verificable ante el SAT. En la práctica, para cualquier actividad vulnerable con volumen real de clientes, llevar seis funciones —incluyendo un histórico de 10 años y alertas automáticas— en hojas de cálculo se vuelve inmanejable rápido. Aquí es donde una plataforma dedicada deja de ser un lujo y pasa a ser lo razonable; profundizamos en cómo elegirla en software PLD para actividades vulnerables.

Fase 3 y Fase 4: capacitación (2027) y auditoría (2028)

Estas dos fases son las más lejanas, pero conviene tenerlas en el radar desde ahora para no llegar a documentar a última hora:

• Capacitación anual (2027): el primer periodo obligatorio corre durante el año. Debe cubrir al personal relevante, con evaluación de conocimientos. Documenta asistencia, contenidos y resultados desde el primer curso.
• Auditoría anual (2028): el primer ejercicio sujeto a auditoría es del 1 de enero al 31 de diciembre de 2028, con dictamen a más tardar el último día hábil de marzo del año siguiente. Si tu grado de riesgo es bajo o medio, puede dictaminar tu área interna; si es alto, requieres un auditor externo independiente certificado por la UIF. La clave es que la evidencia que la auditoría va a revisar se genera desde 2026 y 2027 —así que todo lo que documentes bien en las fases anteriores es lo que te salva el dictamen.

En otras palabras: la auditoría de 2028 no se prepara en 2028. Se prepara ahora, cada vez que dejas rastro de una decisión de cumplimiento.

Cómo Regcheq PLD X opera este calendario sin fricción

Vale la pena decirlo con franqueza: existen varias herramientas en el mercado y la mejor es la que tu operación pueda sostener. Dicho eso, el Acuerdo 115 es precisamente el escenario para el que Regcheq PLD X fue construida, porque cubre de forma nativa lo que las fases anteriores exigen:

• Matriz de riesgo / EBR: matriz integrada que clasifica clientes en bajo, medio y alto, lista para la Fase 1.
• Mecanismos automatizados (Art. 41): la plataforma ejecuta las seis funciones —expediente único, agrupación por cliente y detección de desviaciones, metodología de riesgo, modelo de evaluación con histórico a 10 años, alertas de riesgo alto y PEP, y monitoreo de efectivo y metales— que vencen en la Fase 2.
• Beneficiario controlador y PEP: identificación guiada del beneficiario controlador y screening de listas y PEP.
• Auditoría: evidencia y expedientes ordenados y listos para el dictamen, con acompañamiento durante el proceso.

Lo importante no es la herramienta en sí, sino que llegues a cada fecha con las obligaciones operando en un solo lugar verificable, en vez de rearmar tu programa de cumplimiento contra reloj.

Preguntas frecuentes

¿Qué es lo primero que debo hacer ahora que salió el Acuerdo 115? Leer el Acuerdo, hacer un diagnóstico de brechas contra lo que ya cumples y empezar a acumular los 12 meses de datos que la matriz de riesgo va a exigir en 2027. Todo eso se hace antes del 30 de noviembre de 2026.

¿Tengo que cumplir todo el 30 de noviembre de 2026? No. Esa es la fecha de entrada en vigor general, pero las obligaciones de fondo están escalonadas: la matriz de riesgo, el manual y la clasificación de clientes vencen el 1 de marzo de 2027; los mecanismos automatizados el 1 de junio de 2027; la auditoría aplica al ejercicio 2028.

¿Cuál es la fecha más importante del calendario? El 1 de marzo de 2027, porque ahí convergen la matriz de riesgo con enfoque basado en riesgo, el Manual de Políticas Internas actualizado y la clasificación de clientes por grado de riesgo.

¿El Acuerdo 115 aplica a los negocios pequeños? Sí. Aplica a todas las actividades vulnerables del Artículo 17 sin importar el tamaño. Lo que cambia según tu grado de riesgo es, por ejemplo, si tu auditoría puede ser interna (riesgo bajo o medio) o requiere auditor externo certificado por la UIF (riesgo alto).

¿Puedo cumplir el mecanismo automatizado con una hoja de cálculo? Las reglas lo admiten en principio, siempre que cumpla las seis funciones del Artículo 41 y sea verificable ante el SAT. En la práctica, sostener un expediente único, alertas de PEP y un histórico de 10 años en hojas de cálculo se vuelve inmanejable con volumen real de clientes.

Conclusión

El Acuerdo 115/2026 no se cumple de un jalón, y ese es justamente el punto tranquilizador: el calendario escalonado te da el orden para trabajarlo sin colapsar. Lo urgente ahora no es tener la matriz de riesgo lista —eso vence en marzo de 2027— sino arrancar la Fase 0: leer, diagnosticar y empezar a capturar datos. Cada mes que dejas pasar sin documentar es un mes de histórico que no tendrás cuando la metodología de riesgo lo exija.

Empieza por el diagnóstico, ata cada obligación a su fecha y avanza fase por fase. Si quieres el detalle normativo completo, consúltalo en el pilar del Acuerdo 115/2026 y revisa el calendario con todas las fechas para no perder ningún plazo.