¿Qué debe contener el expediente de identificación del cliente?

Respuesta rápida: El expediente de identificación del cliente debe contener, como mínimo, los datos y documentos que acreditan quién es el cliente y permiten verificar su identidad: nombre completo, fecha y lugar de nacimiento, nacionalidad, domicilio, ocupación, RFC y/o CURP, datos de su identificación oficial y copia de la misma. Para personas morales se suman el acta constitutiva, el RFC, los datos del representante legal y la identificación del beneficiario controlador. A esto se agregan la clasificación de riesgo del cliente, la verificación contra listas de personas bloqueadas y la determinación de si es Persona Políticamente Expuesta (PEP). Desde la reforma a la LFPIORPI del 16 de julio de 2025, el expediente debe conservarse por 10 años.

¿Qué es el expediente de identificación del cliente?

El expediente de identificación, también llamado expediente único de identificación, es el conjunto de datos y documentos que una institución financiera o un sujeto obligado debe recabar, integrar y conservar de cada uno de sus clientes antes o al momento de iniciar la relación de negocios. Es la base del "Conoce a tu Cliente" (KYC) y la primera línea de defensa contra el lavado de dinero, el financiamiento al terrorismo y la suplantación de identidad.

Sin un expediente completo y verificable, una operación no resiste una auditoría, y la institución queda expuesta a sanciones.

¿Quién está obligado a integrarlo y bajo qué régimen?

Aquí hay una distinción que muchas financieras pasan por alto, y que cambia el fundamento legal y la autoridad que supervisa:

• SOFOMes ENR (no reguladas): integran el expediente conforme a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), específicamente el artículo 18 fracción I y las Reglas de Carácter General (artículo 12 y sus anexos). Su supervisor en esta materia es el SAT, en coordinación con la Unidad de Inteligencia Financiera (UIF).

• Entidades financieras reguladas (bancos, SOFIPOs, SOFOMes ER, ITF/fintechs): integran el expediente conforme a las Disposiciones de carácter general en materia de prevención de lavado de dinero emitidas para cada sector (por ejemplo, las que derivan del artículo 115 de la Ley de Instituciones de Crédito o de la Ley Fintech). Su supervisor es la CNBV.

El contenido del expediente es muy similar en ambos regímenes. Lo que cambia es el fundamento legal, los anexos aplicables y la autoridad que te revisa. Identificar cuál te aplica es el primer paso para no construir un expediente con el marco equivocado.

¿Qué debe contener el expediente de una persona física?

Para un cliente persona física de nacionalidad mexicana, los datos mínimos son:

• Nombre completo (apellido paterno, materno y nombre o nombres).

• Fecha de nacimiento.

• Nacionalidad y entidad federativa o país de nacimiento.

• Ocupación, profesión, actividad o giro del negocio.

• Domicilio particular completo.

• Teléfono y correo electrónico.

• RFC y/o CURP.

• Datos de la identificación oficial: tipo de documento, número y autoridad que lo emite.

Documentos que se deben recabar y cotejar contra el original:

• Copia de una identificación oficial vigente, con fotografía y firma, emitida por una autoridad mexicana.

• Comprobante de domicilio, cuando el domicilio no coincida con el de la identificación.

• En su caso, copia del documento que acredite el RFC o la CURP.

¿Qué debe contener el expediente de una persona moral?

Para un cliente persona moral mexicana, además de identificar a la empresa se debe identificar a quien la representa y a quien la controla:

• Denominación o razón social.

• Giro mercantil, actividad u objeto social.

• Nacionalidad.

• RFC.

• Domicilio.

• Datos del instrumento que acredite su constitución (número, fecha, fedatario y datos de inscripción en el Registro Público).

• Datos e identificación del representante legal o apoderado, a quien se identifica como persona física.

• Identificación del beneficiario controlador.

Documentos que se deben recabar:

• Copia del acta constitutiva o testimonio correspondiente.

• Copia del poder del representante legal.

• Identificación oficial del representante.

• Comprobante de domicilio de la empresa.

• Constancia del RFC.

Más allá de los datos: los tres controles que no pueden faltar

Recabar datos no basta. El expediente debe incluir además:

1. Beneficiario controlador. Identificar a la persona física que en última instancia controla a la persona moral o se beneficia de la operación. La reforma de 2025 precisó las reglas para personas físicas y morales en este punto.

2. Clasificación por grado de riesgo. Bajo un enfoque basado en riesgos (EBR), cada cliente debe clasificarse según su nivel de riesgo (bajo, medio o alto), lo que define la intensidad de los controles que se le aplican.

3. Verificación contra listas y condición PEP. Cotejar al cliente contra las listas de personas bloqueadas de la UIF y otras listas internacionales, y determinar si es una Persona Políticamente Expuesta.

Resumen: contenido del expediente por tipo de cliente

¿Por cuánto tiempo se conserva el expediente?

Desde la reforma a la LFPIORPI publicada en el Diario Oficial de la Federación el 16 de julio de 2025, el plazo de conservación pasó de 5 a 10 años, contados a partir de la fecha de la operación. Este cambio alineó a los sujetos obligados de actividades vulnerables con la práctica que ya seguían las entidades financieras reguladas y con el plazo de prescripción penal. El expediente puede conservarse en forma física o electrónica, siempre que esté completo y disponible para la autoridad.

Errores comunes al integrar el expediente

• Construirlo con el marco equivocado (aplicar reglas de la CNBV cuando corresponde la LFPIORPI, o viceversa).

• Recabar copias ilegibles o no cotejarlas contra el original.

• Omitir la identificación del beneficiario controlador en personas morales.

• No clasificar el riesgo del cliente ni revisar listas.

• Conservar el expediente menos del plazo legal o de forma dispersa, sin un archivo único.

Cómo integrar el expediente de forma digital y auditable

Integrar y conservar expedientes a mano, en papel o en hojas de cálculo, es lento y expone a la institución a errores y sanciones. Un proceso digital permite capturar los datos una sola vez, extraerlos de la identificación oficial mediante OCR, validarlos contra fuentes oficiales con biometría y prueba de vida, cotejar listas de forma automática y conservar todo en un expediente electrónico único y auditable.

En DIGID integramos la creación del expediente de identificación dentro del flujo de onboarding y de originación de crédito de punta a punta, con verificación de identidad, validación contra fuentes oficiales y conservación NOM-151, de modo que cada expediente quede completo y listo para una revisión.

DIGID también resuelve los controles de prevención de lavado de dinero dentro del mismo flujo: en un solo análisis coteja al cliente contra más de 1,300 listas de sanciones, listas de Personas Políticamente Expuestas (PEP) y medios adversos. Así, la verificación contra listas y la determinación de la condición PEP, dos controles que el expediente exige, quedan cubiertas sin necesidad de un proveedor adicional. Si quieres ver cómo se vería en tu operación, escríbenos.

Preguntas frecuentes

¿Qué es el expediente único de identificación del cliente? Es el conjunto de datos y documentos que un sujeto obligado recaba y conserva de cada cliente para acreditar y verificar su identidad, como base del KYC y del cumplimiento en materia de prevención de lavado de dinero.

¿Cuánto tiempo se debe conservar el expediente? 10 años a partir de la operación, desde la reforma a la LFPIORPI del 16 de julio de 2025. Antes el plazo era de 5 años.

¿Una SOFOM ENR y un banco siguen las mismas reglas? El contenido es similar, pero la SOFOM ENR se rige por la LFPIORPI y sus Reglas de Carácter General, supervisada por el SAT, mientras que el banco se rige por las disposiciones de la CNBV.

¿El expediente puede ser electrónico? Sí. Puede conservarse en forma física o electrónica, siempre que esté completo, sea legible y esté disponible para la autoridad.

¿Qué pasa si el cliente se niega a proporcionar la información? El sujeto obligado debe abstenerse de realizar la operación, ya que no podría integrar un expediente válido.

Última actualización: junio de 2026. Fuentes: LFPIORPI y su reforma publicada en el DOF el 16 de julio de 2025, Reglas de Carácter General en materia de la LFPIORPI, y Disposiciones de carácter general en materia de prevención de lavado de dinero aplicables a las entidades financieras.