¿Cómo cumple una SOFIPO sus obligaciones de identificación ante la CNBV?

Las Sociedades Financieras Populares — las SOFIPOs — operan bajo un marco regulatorio específico que las distingue de otros intermediarios financieros no bancarios. A diferencia de una empresa que realiza actividades vulnerables y reporta a la UIF, una SOFIPO está supervisada directamente por la Comisión Nacional Bancaria y de Valores (CNBV) y debe cumplir con disposiciones de carácter general que regulan con detalle cómo debe identificar a sus socios y clientes.

Este artículo explica qué exige ese marco regulatorio en materia de identificación y cómo puede cumplirse en la operación cotidiana.

El marco regulatorio de las SOFIPOs

Las SOFIPOs se rigen por la Ley de Ahorro y Crédito Popular (LACP) y por las Disposiciones de Carácter General a que se refiere el artículo 124 de esa ley, emitidas por la CNBV. Estas disposiciones — que se actualizan periódicamente — son el equivalente para las SOFIPOs de lo que las Disposiciones de Carácter General aplicables a las instituciones de crédito son para los bancos.

En materia de prevención de lavado de dinero e identificación de clientes, las SOFIPOs también están sujetas a las Disposiciones de Carácter General a que se refieren los artículos 115 de la Ley de Instituciones de Crédito y 87-D de la Ley General de Organizaciones y Actividades Auxiliares del Crédito, aplicadas por analogía o por disposición expresa, según corresponda.

La supervisión recae en la CNBV, con reporte a la UIF para operaciones inusuales y relevantes.

Qué debe contener el expediente de identificación

Las disposiciones de la CNBV aplicables a las SOFIPOs establecen que, antes de establecer cualquier relación de negocios con un socio o cliente, la institución debe integrar un expediente de identificación que contenga:

Para personas físicas:

• Nombre completo

• Fecha de nacimiento

• Nacionalidad

• CURP

• RFC (cuando aplique)

• Domicilio

• Ocupación o actividad económica

• Identificación oficial vigente con fotografía — INE/IFE, pasaporte, cédula profesional u otro documento aceptado por las disposiciones

Para personas morales:

• Denominación o razón social

• RFC

• Giro mercantil o actividad

• Domicilio del establecimiento principal

• Instrumento notarial de constitución

• Poderes notariales de los representantes legales

• Identificación de los representantes legales (mismos datos que personas físicas)

• Identificación del beneficiario controlador

La integración del expediente no es un trámite único — debe mantenerse actualizado. Las disposiciones establecen periodicidades de actualización que varían según el perfil de riesgo del cliente.

La obligación de verificar, no solo recopilar

Un punto que las SOFIPOs deben entender bien: la obligación no es solo recopilar los datos, sino verificar que la información es auténtica y que la persona que se presenta es quien dice ser.

Esto implica validar la autenticidad del documento de identidad presentado y, dependiendo del perfil de riesgo del cliente y del tipo de producto, confirmar que la persona física presente en el proceso corresponde al titular del documento.

En un proceso presencial tradicional, esta verificación ocurría cara a cara. En un proceso de originación digital, la verificación debe ser equivalente en confiabilidad — lo que en la práctica significa usar tecnología que valide el documento y confirme la identidad biométrica del solicitante.

El perfil transaccional y el monitoreo continuo

La identificación inicial es solo el primer paso. Las disposiciones de la CNBV también exigen que las SOFIPOs construyan y mantengan un perfil transaccional de cada cliente: el comportamiento esperado en términos de montos, frecuencia y tipos de operaciones, basado en la información de identificación y en la actividad declarada.

Ese perfil es la referencia para el monitoreo de operaciones. Cuando una transacción se sale del perfil esperado, la SOFIPO debe evaluarla, documentar su análisis y, si existen indicios de operación inusual, reportarla a la UIF.

El monitoreo no es manual en instituciones con volumen significativo — se apoya en sistemas que alertan automáticamente cuando una transacción supera umbrales o presenta patrones atípicos.

Operaciones que deben reportarse a la UIF

Las SOFIPOs tienen obligación de reportar a la UIF tres tipos de operaciones:

Operaciones relevantes: aquellas que superan los umbrales en efectivo que establecen las disposiciones (actualmente $7,500 dólares o su equivalente en pesos para operaciones con billetes y monedas).

Operaciones inusuales: aquellas que no corresponden al perfil transaccional del cliente o que, por sus características, no tienen una justificación económica aparente.

Operaciones preocupantes: aquellas que, por las circunstancias en que se realizan, generan la sospecha razonada de que los recursos podrían tener origen ilícito.

Los reportes se presentan a la UIF a través del sistema SITI (Sistema de Transferencia de Información) o el medio que la autoridad designe para ese efecto.

El oficial de cumplimiento

Las SOFIPOs están obligadas a designar un oficial de cumplimiento — una persona responsable de diseñar, implementar y supervisar el programa de prevención de lavado de dinero de la institución. Este oficial es el punto de contacto con la CNBV y la UIF, y es el responsable de asegurarse de que los procesos de identificación, monitoreo y reporte funcionen correctamente.

Las disposiciones establecen los requisitos que debe cumplir quien ocupe ese rol, incluyendo experiencia y conocimiento en materia de prevención de operaciones con recursos de procedencia ilícita.

Cómo la originación digital se integra al cumplimiento

En el modelo tradicional, una SOFIPO identifica a sus socios en sucursal: el ejecutivo revisa el documento físico, captura los datos y los archiva. En un modelo de originación digital, todo ese proceso ocurre a distancia.

Para que el proceso digital cumpla con las disposiciones de la CNBV, debe ser equivalente en confiabilidad al proceso presencial. Eso significa:

• Captura de la identificación oficial vigente con imagen legible de ambas caras

• Validación de la autenticidad del documento (que no sea una imagen de una imagen, que los elementos de seguridad sean consistentes)

• Validación de que los datos del documento corresponden al CURP registrado en RENAPO

• Verificación biométrica que confirme que la persona que se está identificando es el titular del documento

Una plataforma como DIGID ejecuta ese flujo completo y genera un expediente digital con el resultado de cada paso: imagen del documento, datos extraídos, resultado de la validación RENAPO, score de face match y liveness, y timestamp de cada verificación.

Ese expediente es el que la SOFIPO presenta ante la CNBV en una visita de supervisión o ante la UIF si así se requiere.

Preguntas frecuentes

¿Una SOFIPO puede hacer onboarding 100% digital sin visita a sucursal? Sí, siempre que el proceso de identificación remota sea equivalente en confiabilidad al presencial. Las disposiciones no exigen presencia física — exigen que la identificación sea verificada. Un proceso con validación documental y biométrica cumple ese requisito cuando está correctamente implementado y documentado.

¿Cada cuánto debe actualizarse el expediente del cliente? Las disposiciones establecen periodicidades que dependen del grado de riesgo asignado al cliente. Clientes de alto riesgo requieren actualizaciones más frecuentes. El programa de cumplimiento de la SOFIPO debe definir esas periodicidades y el proceso para ejecutarlas.

¿Qué pasa si la CNBV detecta expedientes incompletos en una visita de supervisión? Puede emitir observaciones y requerimientos de corrección, o en casos graves, sanciones administrativas. Los incumplimientos reiterados pueden derivar en restricciones operativas. La CNBV publica en su página las sanciones impuestas a las instituciones supervisadas.

¿La SOFIPO puede subcontratar el proceso de identificación? Puede usar proveedores tecnológicos para el proceso de captura y verificación, pero la responsabilidad del cumplimiento no se transfiere al proveedor — recae en la SOFIPO. El proveedor debe comprometerse a los estándares que exigen las disposiciones, y la SOFIPO debe documentar esa relación.

¿Las disposiciones de la CNBV para SOFIPOs son las mismas que para SOFOMs o SFPs? No. Cada tipo de entidad tiene sus propias disposiciones según la ley que la rige. Los principios son similares, pero los umbrales, formatos de reporte y requisitos específicos pueden diferir. Una SOFIPO, una SOFOM regulada y una Sociedad Financiera Popular tienen marcos distintos, aunque todos responden a la misma autoridad supervisora.

Cumple las disposiciones de la CNBV desde el primer socio

DIGID genera el expediente de identificación que exige la regulación: documento validado contra RENAPO, biometría verificada y registro con timestamp. Integrable en tu flujo de originación desde el primer día.

Habla con tu ejecutivo de DIGID para adaptar el proceso a las disposiciones aplicables a tu institución.