Las nuevas normas de la ley antilavado ponen a prueba la madurez de los controles empresariales

Para una empresa, esto significa que el cumplimiento deja de ser una función que opera principalmente al final de una transacción y ahora deberá estar integrada a la forma en que se evalúan clientes, operaciones y medios de pago.

Entre las empresas con actividades vulnerables, se encuentran aquellas del sector inmobiliario y la construcción, el automotriz, la compraventa de joyas, metales y piedras preciosas, el arte y las antigüedades, los juegos y apuestas, el comercio exterior, los servicios profesionales y notariales, el otorgamiento de préstamos, el transporte y custodia de valores, las donatarias y las operaciones con activos virtuales.

Jorge Salazar, socio del Grupo de Práctica Fiscal de Baker McKenzie, explica que una inmobiliaria, por ejemplo, no solo deberá saber quién renta un inmueble, sino evaluar quién está detrás de la operación, cómo paga, bajo qué condiciones y qué elementos pueden elevar el nivel de riesgo. Las empresas deberán documentar esa evaluación y establecer si una operación o contraparte representa un riesgo bajo, medio o alto.

Uno de los cambios que más impactará la operación cotidiana será la necesidad de contar con mecanismos que permitan hacer ese seguimiento de manera sistemática. Las nuevas reglas de la Ley Antilavado contemplan herramientas automatizadas para monitorear operaciones, actualizar perfiles transaccionales, evaluar riesgos y generar alertas. Esto obliga a que la información que hoy puede encontrarse dispersa entre las áreas comercial, legal, financiera y de cumplimiento pueda integrarse y analizarse de manera consistente.

Lee:

Gobernanza

El 90% de las empresas en México quiere compras de impacto, pero una tercera parte no tiene procesos

Las nuevas reglas establecen que los controles de cumplimiento deberán ser revisados y que los resultados de esa evaluación tendrán que llegar a los órganos de gobierno o a la alta dirección.

El objetivo ya no será solamente comprobar que existe un manual o que se presentó un aviso, sino evaluar la eficacia de los controles y documentar las deficiencias encontradas. Es ahí donde el área de auditoría tendrá un papel clave, pues deberá establecer acciones correctivas, responsables y plazos e incorporar una estimación económica de las multas que podrían derivarse de las fallas que permanezcan sin corregir.

Sin embargo, solo 37% de las organizaciones ya adoptó las Normas Globales de Auditoría, de acuerdo con el Estudio integral de Auditoría Interna en México 2026 de KPMG, mientras 30% está en proceso y 16% tiene un análisis de brechas. Solo 12% dice no tener planes para adoptarlas.

La brecha también aparece en la manera en que las empresas evalúan sus riesgos. KPMG encontró que 68% de las áreas de Auditoría Interna en México realiza por cuenta propia la evaluación de riesgos para construir su plan de trabajo, pero 67% todavía lo hace de manera anual y 18% mantiene un monitoreo continuo.

Para las empresas que aún no establecen un plan para abordar estas normas, Salazar señala que lo primero es hacer un análisis interno del tipo de operaciones que llevan a cabo con todos sus clientes o usuarios para verificar si alguna de esas operaciones son consideradas como vulnerables.

A partir de ese diagnóstico, plantea el especialista, las compañías pueden determinar qué obligaciones les corresponden y comenzar a cerrar las brechas tanto para las operaciones pasadas como para las futuras.

Para Salazar, las grandes compañías tienen mayores posibilidades de absorber los cambios, aunque tendrán que hacer ajustes organizacionales e inversiones. En las pequeñas y medianas, el reto puede ser mayor porque quizá no cuentan con personal especializado, sistemas o una estructura dedicada al cumplimiento.

Salazar plantea que algunas compañías podrán reasignar personal o aprovechar capacidades que ya tienen, mientras que otras tendrán que contratar especialistas externos. “Sí puede implicar mayores costos”, señala, porque será necesario implementar nuevas estrategias y procedimientos internos para verificar el cumplimiento.

También lee:

Gobernanza

El 47% de las empresas en México cuantifica el impacto financiero del ESG

La contratación de especialistas ya es una práctica extendida en la auditoría mexicana. Según KPMG, 57% de las organizaciones recurrió a terceros durante el último año, principalmente para cubrir conocimientos especializados. Los servicios más demandados fueron temas fiscales, legales o de comercio exterior y ciberseguridad, ambos con 48%, seguidos por tecnologías de información con 28% y servicios forenses con 28%.

Pero el desafío no termina con contratar una consultora. KPMG señala que 44% de las organizaciones mexicanas no ha realizado una evaluación externa de calidad de su función de Auditoría Interna. Además, 58% todavía utiliza hojas de cálculo como herramienta principal para esa función.

Para Salazar, por eso el primer paso no es comprar tecnología ni contratar auditorías, sino saber exactamente qué operaciones realiza la empresa y cuáles están dentro de la ley. Después viene la construcción del sistema de cumplimiento.

“Una vez que determinemos si nuestras operaciones están dentro de los supuestos de la ley, podemos acudir a la autoridad para confirmar el criterio y, en caso de que sí exista la obligación, preparar a la empresa para cumplir con todos los requisitos”, dice Salazar.

Las reglas entrarán en vigor en noviembre de 2026, mientras que varias obligaciones centrales comenzarán a aplicarse en marzo de 2027 y los mecanismos automatizados deberán estar funcionando a partir de junio de ese año. El primer periodo anual sujeto a la nueva revisión de auditoría será 2028.

Por eso, la primera auditoría de 2028 no es el momento para empezar a cumplir, sino la fecha en la que las empresas tendrán que demostrar que lo que construyeron durante 2027 funciona.