¿Qué exige la Ley Antilavado a las Actividades Vulnerables en materia de identificación de clientes?

En México, la obligación de conocer a tus clientes no aplica solo a los bancos. Existe una categoría de empresas que, por el tipo de operaciones que realizan, están obligadas por ley a identificar a sus clientes, conservar esa información y reportar operaciones sospechosas a la autoridad. Esas empresas son las llamadas Actividades Vulnerables, y su marco regulatorio es la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita — conocida como la Ley Antilavado o LACP.

Si tu empresa cae dentro de alguna de las actividades que la ley lista, tienes obligaciones concretas de KYC que no son opcionales.

Qué es la LACP y quién la supervisa

La LACP fue publicada en 2012 y entró en vigor en 2013. Su objetivo es prevenir que el sistema financiero y la economía en general sean usados para lavar dinero o financiar el terrorismo. La autoridad que la supervisa y recibe los reportes es la Unidad de Inteligencia Financiera (UIF), dependiente de la Secretaría de Hacienda y Crédito Público.

A diferencia de la regulación bancaria, que recae sobre el sistema financiero formal, la LACP extiende las obligaciones antilavado a sectores no financieros que, por su naturaleza, pueden ser usados para colocar recursos de origen ilícito.

Qué son las Actividades Vulnerables

La LACP define en su artículo 17 un catálogo de actividades vulnerables. Son 16 categorías que incluyen, entre otras:

• Juegos con apuesta, concursos o sorteos

• Emisión y comercialización de tarjetas de servicios

• Emisión y comercialización de cheques de viajero

• Crédito, préstamos o financiamiento de entidades no supervisadas por la CNBV

• Servicios de construcción, desarrollo y comercialización de inmuebles

• Comercio de joyas, relojes, metales y piedras preciosas

• Comercio de obras de arte y antigüedades

• Comercio de vehículos nuevos y usados

• Prestación de servicios profesionales como asesoría contable, fiscal o corporativa en operaciones específicas

• Constitución de personas morales, cesión de acciones, administración de fideicomisos

• Servicios de blindaje de vehículos

• Traslado y custodia de dinero o valores

• Prestación de servicios de fe pública (notarios y corredores públicos)

• Recepción de donativos por parte de donatarias autorizadas

La condición que activa las obligaciones no es solo pertenecer a una de estas categorías — es realizar operaciones que superen los umbrales monetarios que establece el Reglamento de la LACP para cada actividad. Por debajo del umbral, algunas obligaciones no aplican; en otras categorías, las obligaciones existen desde la primera operación sin importar el monto.

Las obligaciones de identificación que genera la LACP

Para las empresas que realizan Actividades Vulnerables, la ley establece un conjunto de obligaciones que pueden agruparse en cuatro áreas:

1. Identificar y conocer al cliente

Antes de realizar una actividad vulnerable que supere el umbral aplicable, la empresa debe identificar al cliente. Esto implica recopilar y verificar:

• Nombre completo o denominación social

• Domicilio

• CURP o RFC

• Actividad u ocupación

• Para personas morales: datos de constitución y representantes legales

La ley exige que esta identificación se haga con documentos originales o copias certificadas. En la práctica actual, esto puede cumplirse mediante un proceso de verificación de identidad digital que documente que el cliente presentó su identificación oficial vigente.

2. Identificar al beneficiario controlador

Cuando el cliente es una persona moral o actúa por cuenta de un tercero, la empresa debe identificar a la persona física que en última instancia controla o se beneficia de la operación — el llamado beneficiario controlador. Esto es especialmente relevante en estructuras corporativas complejas.

3. Conservar el expediente de identificación

Los registros de identificación deben conservarse por un mínimo de cinco años contados desde la fecha de la operación. Este expediente debe estar disponible para presentarlo ante la UIF cuando lo solicite.

4. Presentar avisos a la UIF

Las empresas que realizan Actividades Vulnerables deben presentar avisos mensuales a la UIF a través del sistema PREI (Portal de Reportes e Inteligencia de la UIF), informando las operaciones realizadas que superen los umbrales establecidos. En algunos casos — cuando hay indicios de operaciones con recursos de procedencia ilícita — el aviso debe presentarse de forma inmediata sin esperar al ciclo mensual.

Los umbrales que activan las obligaciones

El Reglamento de la LACP establece umbrales específicos para cada tipo de actividad vulnerable, expresados en veces el salario mínimo general diario vigente (SMGDV). Estos umbrales determinan a partir de qué monto es obligatorio identificar al cliente y presentar aviso a la UIF.

Por ejemplo, para operaciones de crédito o financiamiento de entidades no reguladas, el umbral para la obligación de identificación es relativamente bajo, y las operaciones que superen cierto monto adicional deben reportarse.

Dado que los umbrales se actualizan y varían por actividad, la recomendación es consultar directamente el Reglamento vigente y las reglas de carácter general emitidas por la SHCP para la actividad específica de la empresa.

Qué pasa si no se cumple

Las sanciones por incumplimiento de las obligaciones de la LACP son significativas. La UIF puede imponer multas que van de miles a millones de pesos, dependiendo de la gravedad y la reincidencia. Los casos más graves — como no presentar avisos de operaciones conocidas como sospechosas — pueden derivar en responsabilidades penales para los directivos de la empresa.

Además, las empresas que incumplen pueden quedar inhabilitadas para realizar las actividades vulnerables que constituyen su negocio.

Cómo un proceso de KYC digital ayuda a cumplir la LACP

El cumplimiento de la LACP exige documentar que el cliente fue identificado con un documento oficial vigente. Un proceso de KYC digital que capture la imagen del documento de identidad, lo valide contra las bases de RENAPO y documente el resultado genera exactamente el tipo de expediente que la ley requiere conservar.

Adicionalmente, el expediente digital — con timestamp, resultado de la verificación, imagen del documento y datos extraídos — es más fácil de consultar y presentar ante la UIF que un archivo físico, y puede integrarse directamente al sistema de gestión de avisos.

La diferencia entre una empresa que cumple la LACP cómodamente y una que lo hace con fricciones suele estar en si el proceso de identificación está integrado en el flujo operativo desde el inicio, o si se trata como un trámite adicional. Un proceso digital que identifica al cliente en el momento del onboarding elimina esa fricción.

Preguntas frecuentes

¿Mi empresa realiza una actividad vulnerable pero los montos son bajos — tengo obligaciones? Depende de la actividad específica y del umbral que establece el Reglamento para esa categoría. Algunas actividades tienen obligaciones de identificación desde la primera operación, sin importar el monto. Otras solo activan obligaciones a partir de cierto umbral. Es necesario revisar el artículo 17 de la LACP y el Reglamento para la actividad específica.

¿La obligación aplica a clientes personas físicas y personas morales? Sí. Para personas morales, además de los datos de la empresa, se debe identificar a los representantes legales y al beneficiario controlador.

¿Los cinco años de conservación cuentan desde cuándo? Desde la fecha en que se realizó la operación o se estableció la relación de negocios. Si la relación es continua — por ejemplo, un crédito vigente — el plazo generalmente corre desde que termina la relación.

¿El portal de la UIF (PREI) requiere que yo tenga un sistema específico? El PREI es el sistema de la UIF para recibir avisos. La empresa puede presentarlos directamente en el portal o, si el volumen es alto, usar sistemas que generen el archivo de carga masiva en el formato que exige la UIF. La integración con un proceso de KYC digital facilita tener los datos listos en el formato correcto.

¿Las Actividades Vulnerables tienen que designar un oficial de cumplimiento? La LACP establece la figura del representante ante la UIF para las empresas que realizan actividades vulnerables. Las obligaciones específicas de esa figura — incluyendo si es necesario designar un oficial de cumplimiento formal — dependen de la actividad y del volumen de operaciones.

Cumple la LACP con un expediente de identificación digital

DIGID genera el expediente de identificación que exige la Ley Antilavado: documento validado contra RENAPO, biometría verificada y registro con timestamp. Todo integrado en tu flujo de onboarding.

Habla con tu ejecutivo de DIGID para diseñar el proceso que corresponde a tu actividad vulnerable.