La reforma publicada por la Secretaría de Hacienda y Crédito Público no es un ajuste menor de cumplimiento: redefine el estándar de vigilancia para miles de empresas y personas físicas que realizan actividades vulnerables. La nueva lógica exige conservar expedientes durante 10 años, clasificar a los clientes por nivel de riesgo, identificar al beneficiario controlador y respaldar todo con mecanismos automatizados de detección. En términos prácticos, el mensaje del regulador es claro: ya no bastará con reunir documentos para archivar; ahora será necesario demostrar capacidad real para prevenir, detectar y documentar operaciones sospechosas.
Ese cambio importa porque desplaza el foco desde la mera identificación formal hacia una supervisión continua basada en riesgos. En sectores como inmobiliarias, joyería, casas de empeño, blindaje de vehículos, juegos con apuesta y otras actividades vulnerables, la carga regulatoria suele absorberse con plantillas mínimas y procesos manuales. Con una obligación de conservación por una década, la autoridad está asumiendo que el rastro documental debe sobrevivir al ciclo comercial completo de una operación y, en algunos casos, a la propia vida útil del cliente como usuario recurrente. Esa sola exigencia eleva el costo de incumplimiento: perder un expediente, tenerlo incompleto o no poder reconstruirlo en una auditoría puede transformarse en sanción, observación y, sobre todo, en una señal de debilidad de control interno.
La apuesta de fondo: convertir cumplimiento en inteligencia operativa
El primer punto de fondo es que Hacienda está empujando a los sujetos obligados a convertirse en recolectores de inteligencia, no solo en receptores de documentos. La inclusión de evaluaciones de riesgo formalizadas y mecanismos automatizados sugiere un cambio de criterio: el regulador ya no quiere expedientes estáticos, sino procesos capaces de detectar patrones inusuales en tiempo casi real. Eso tiene sentido en un entorno donde el lavado de dinero rara vez se presenta como una transacción aislada; suele manifestarse mediante fragmentación de operaciones, uso de terceros, estructuras corporativas opacas y movimientos repetidos que, vistos individualmente, parecen inocuos.
La decisión también busca resolver una falla conocida en México y en buena parte de América Latina: la brecha entre la norma escrita y la capacidad efectiva de supervisión. La Unidad de Inteligencia Financiera y el SAT dependen de que el primer filtro lo hagan las propias empresas. Si ese filtro es débil, manual o inconsistente, el sistema entero pierde eficacia. Por eso la obligación de usar herramientas automatizadas no debe leerse solo como una modernización tecnológica; en realidad es un intento de reducir la discrecionalidad del empleado de mostrador o del responsable administrativo que, por carga de trabajo o desconocimiento, termina validando señales de riesgo que deberían escalarse.
Hay aquí una primera conclusión relevante: la reforma no persigue únicamente castigar el lavado, sino aumentar la trazabilidad del negocio ordinario. Esa trazabilidad puede ser útil incluso para empresas que no enfrentan conductas ilícitas. Una base documental ordenada, clasificación de riesgos y reglas internas claras mejoran la defensa ante auditorías, disputas con clientes y revisiones fiscales. El costo es que el cumplimiento deja de ser accesorio y pasa a ser infraestructura.
Quién paga la transición y por qué no será igual para todos
El impacto no será homogéneo. Las grandes organizaciones, con presupuestos para software de monitoreo, equipos de compliance y asesores externos, podrán absorber mejor el cambio. Las pequeñas y medianas, en cambio, enfrentarán un dilema más duro: invertir en tecnología y capacitación o aceptar un mayor riesgo de sanción. En actividades donde el margen es estrecho, como intermediación de bienes de alto valor o servicios intensivos en atención al cliente, la implementación puede resultar desproporcionada si se mide solo en costo inmediato. Pero esa lectura es incompleta. Un expediente mal integrado o un cliente no clasificado puede terminar costando mucho más que una plataforma básica de prevención.
La experiencia internacional muestra que las regulaciones antilavado más exigentes suelen empujar hacia la consolidación del mercado. Cuando el cumplimiento se vuelve técnicamente complejo, las firmas pequeñas tienden a tercerizar funciones, asociarse con proveedores especializados o abandonar segmentos de alto riesgo. En el corto plazo, eso puede reducir la competencia en ciertos nichos. En el mediano, puede elevar el estándar mínimo de operación y castigar a quienes dependían de la informalidad documental como ventaja competitiva. México parece avanzar justamente hacia ese punto de inflexión.
También hay una dimensión sectorial poco discutida: la clasificación de clientes en riesgo bajo, medio y alto introduce una lógica de discriminación regulatoria que, bien aplicada, mejora la eficiencia; mal aplicada, puede derivar en fricciones comerciales y sesgos operativos. Una empresa que sobrerreaccione ante una jurisdicción extranjera o frente a una persona políticamente expuesta podría cerrar ventas legítimas por miedo regulatorio. El desafío no es solo detectar más, sino discriminar mejor. Sin criterios consistentes, el sistema puede producir dos efectos no deseados: falsas alarmas masivas y exclusión injustificada de clientes legítimos.
El beneficiario controlador como punto ciego del sistema
La insistencia en identificar al beneficiario controlador es una de las partes más sensibles de la reforma, y también una de las más decisivas. La experiencia comparada muestra que los esquemas de ocultamiento no dependen únicamente de empresas fachada; también se sostienen con redes de sociedades, prestanombres y estructuras de propiedad dispersa. Cuando la autoridad exige llegar hasta la persona física que realmente se beneficia o controla, está atacando el núcleo del anonimato corporativo.
La dificultad es que esa identificación no siempre es sencilla. En estructuras familiares, holdings con participación cruzada o vehículos constituidos fuera de México, la propiedad efectiva puede ser difusa o jurídicamente fragmentada. Ahí aparecerá el principal conflicto entre autoridad y sujetos obligados: Hacienda pedirá profundidad; las empresas alegarán límites de acceso, costos de verificación y, en algunos casos, imposibilidad material de obtener evidencia confiable. El punto no es menor, porque una exigencia demasiado ambiciosa puede empujar al cumplimiento meramente defensivo: recabar papeles para cubrir expediente sin acercarse realmente al control final.
Un segundo hallazgo es que la reforma funciona también como política de depuración del ecosistema corporativo. Quien no pueda explicar quién controla o financia una operación tendrá más dificultades para acceder a ciertos servicios, contratar con contrapartes rigurosas o sostener vínculos con instituciones financieras. En otras palabras, la medida no solo busca atrapar lavado; también eleva el precio de la opacidad. Y cuando el precio de la opacidad sube, cambian los incentivos del mercado.
2027 y 2028: el verdadero examen será la implementación
El calendario gradual revela que el gobierno sabe que el golpe regulatorio no puede entrar de forma abrupta. La entrada general el 30 de noviembre de 2026 da un margen limitado, pero la evaluación formal de riesgos y los mecanismos automatizados se extenderán hacia 2027 y 2028. Eso implica que el éxito de la reforma no se medirá en la publicación del decreto, sino en la capacidad de ejecución durante los próximos dos años. Allí se jugará la diferencia entre una modernización real y una obligación que solo se cumple en el papel.
El riesgo principal es la simulación regulatoria. Muchas empresas podrían redactar manuales internos impecables, abrir carpetas digitales y hasta contratar proveedores tecnológicos sin que eso se traduzca en decisiones mejores. El mercado de compliance ya conoce ese patrón: abundan políticas copiadas, matrices de riesgo genéricas y alertas que nadie revisa con criterio. Si las autoridades no verifican calidad operativa, y no solo existencia documental, la reforma puede inflar el volumen de papeles sin reducir el lavado. La verdadera prueba estará en las auditorías cruzadas, en la trazabilidad de decisiones y en la capacidad de detectar inconsistencias entre lo que el sujeto obligado dice hacer y lo que efectivamente hace.
La otra tensión es la privacidad y el uso de datos. Conservar información durante 10 años, actualizarla y cruzarla con sistemas automatizados eleva la exposición de datos sensibles. Si esos expedientes no están protegidos con rigor, la política antilavado puede abrir una vulnerabilidad nueva: filtraciones, uso indebido de información o accesos no autorizados. En un entorno donde los datos se vuelven activos valiosos, el cumplimiento no solo debe ser antiilícito; también debe ser seguro. Esa capa de protección será, de hecho, una prueba de madurez institucional.
Lo que está en marcha es una recalibración del costo de hacer negocios en actividades vulnerables. México está diciendo que operar con dinero de procedencia lícita debe poder probarse con la misma disciplina con la que se factura o se cobra. La reforma puede fortalecer la prevención si se implementa con criterios consistentes, tecnología útil y supervisión efectiva. También puede fracasar si se convierte en una carrera de formatos. La diferencia entre ambos escenarios dependerá menos del texto legal que de la capacidad real de empresas y autoridades para convertir vigilancia en evidencia y evidencia en acción.
