Debida Diligencia Reforzada (DDR/EDD) en México: Guía de Cumplimiento LFPIORPI y CNBV

La Debida Diligencia Reforzada (DDR, o EDD por sus siglas en inglés Enhanced Due Diligence) es el conjunto de medidas adicionales de identificación, verificación y monitoreo que los sujetos obligados deben aplicar cuando una relación de negocio o una operación presenta factores de riesgo elevado de lavado de activos o financiamiento al terrorismo. En México, estas obligaciones están reguladas principalmente por el artículo 115 de la Ley de Instituciones de Crédito (LIC) y las Disposiciones de Carácter General de la CNBV para instituciones financieras, así como por la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) para las Actividades Vulnerables supervisadas por el SAT. La omisión de las medidas de DDR puede acarrear sanciones que van desde multas significativas hasta penas de prisión de 5 a 15 años por el delito de lavado de activos (Art. 400 Bis del Código Penal Federal).

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias normativas son exactas a la fecha de publicación. Consulte a un profesional cualificado para obtener orientación adaptada a su situación específica.

Para una visión general del marco de conformidad documental, consulte nuestra guía de conformidad documental. Si busca una lista de verificación práctica de DDC por sector, consulte el artículo sobre debida diligencia del cliente por sector.

¿Qué es la Debida Diligencia Reforzada (DDR) en la regulación mexicana?

La Debida Diligencia Reforzada es el nivel máximo de controles dentro del marco de Conocimiento del Cliente (KYC). Se sitúa por encima de la diligencia ordinaria (DDC) y exige medidas adicionales cuando el riesgo de lavado de activos o financiamiento al terrorismo es significativamente elevado.

El marco regulatorio mexicano en materia de PLD/FT (Prevención de Lavado de Dinero y Financiamiento al Terrorismo) es sectorial y se estructura en diferentes niveles normativos:

• LFPIORPI (2012): regula las llamadas "Actividades Vulnerables" —notarías, inmobiliarias, joyerías, venta de vehículos, entre otras— y establece obligaciones de identificación y reporte ante el SAT.
• Artículo 115 de la LIC y Disposiciones de Carácter General de la CNBV: aplican a bancos y entidades financieras supervisadas por la CNBV (Comisión Nacional Bancaria y de Valores), estableciendo el régimen completo de KYC/DDR.
• Ley Fintech 2018 + Disposiciones Banxico: regulan a las Instituciones de Tecnología Financiera (ITF) y establecen obligaciones PLD para operaciones con activos virtuales.
• Disposiciones de la CNSF: aplicables al sector de seguros y fianzas.
• Disposiciones de la CONSAR: aplicables a las AFORES y fondos de pensiones.

La UIF (Unidad de Inteligencia Financiera), adscrita a la Secretaría de Hacienda y Crédito Público (SHCP), es la entidad receptora de los reportes de operaciones de todos los sujetos obligados del sistema financiero. El SAT, por su parte, actúa como receptor de reportes de las Actividades Vulnerables bajo LFPIORPI, aunque los reportes finalmente se canalizan también a la UIF para su análisis de inteligencia.

Una pregunta recurrente entre los profesionales del cumplimiento en México es la distinción entre la verificación del origen de recursos (SOF — Source of Funds) y la verificación del origen del patrimonio (SOW — Source of Wealth), y qué documentos son aceptados por la CNBV:

• SOF responde a "¿de dónde provienen los recursos utilizados en esta operación o relación de negocio específica?". Es transaccional y puntual. Documentos aceptados: estados de cuenta bancarios (últimos 3 meses), comprobantes de transferencia electrónica de fondos (SPEI) con identificación de la cuenta de origen, contratos notariales que justifiquen el ingreso de recursos, declaraciones fiscales que acrediten ingresos de ese ejercicio.
• SOW responde a "¿cómo acumuló el cliente su patrimonio a lo largo del tiempo?". Es biográfico y amplio. Documentos aceptados: declaraciones fiscales de varios ejercicios, estados financieros auditados, escrituras de bienes inmuebles, contratos de trabajo con comprobantes de nómina, testamentos y actas de sucesión.

Ambas verificaciones son exigibles en la DDR, pero el SOW adquiere especial relevancia en relaciones con Personas Políticamente Expuestas (PPE), cuyo patrimonio puede haberse acumulado en contextos de riesgo de corrupción.

¿Cuándo es obligatoria la DDR en México?

Las Disposiciones de Carácter General aplicables a las instituciones de crédito (basadas en el Art. 115 de la LIC) y la LFPIORPI (Arts. 17-18) establecen los supuestos que activan la obligación de aplicar medidas de diligencia reforzada.

La reforma de 2022 al Código Fiscal de la Federación (CFF) merece atención especial: establece la obligación de identificar y registrar al beneficiario controlador (UBO) de todas las personas morales y fideicomisos ante el SAT, con sanciones severas por incumplimiento. Esta reforma se aplica también en el contexto de la DDR cuando el cliente es una persona moral.

Proceso DDR en México: 7 pasos para el cumplimiento

Un proceso DDR bien estructurado debe poder auditarse en su totalidad. A continuación se describe el itinerario adaptado al marco normativo mexicano:

Paso 1 — Identificación del factor de riesgo desencadenante

Determine cuál es el factor que activa la DDR: PPE, país de alto riesgo, estructura societaria compleja, cliente no residente, operación inusual o actividad vulnerable con montos relevantes. Esta evaluación debe quedar documentada en el expediente del cliente, con indicación de la base normativa aplicable (artículo de las Disposiciones CNBV, LFPIORPI o reforma CFF).

Paso 2 — Verificación reforzada de identidad con INE, RFC y CURP

Para personas físicas: La credencial para votar del INE es el documento de identificación primario más ampliamente reconocido por la CNBV para mexicanos. Como alternativa, se acepta pasaporte mexicano o cédula profesional. Además, el RFC (Registro Federal de Contribuyentes) y la CURP (Clave Única de Registro de Población) son datos obligatorios que deben validarse con la base del SAT y del RENAPO, respectivamente. Para clientes extranjeros no residentes, se requiere pasaporte vigente y, en su caso, documento migratorio. La e.firma (antes FIEL) es aceptada como medio de verificación en procesos digitales.

Para personas morales: Acta constitutiva protocolizada ante notario, cédula de identificación fiscal (RFC activo), poder notarial del representante legal vigente, estados financieros recientes. La identificación del beneficiario controlador conforme a la reforma 2022 al CFF es obligatoria y debe documentarse hasta la persona física final.

Paso 3 — Verificación del origen de recursos (SOF)

Obtenga prueba documental de la procedencia concreta de los recursos utilizados en la operación o relación de negocio. Documentos aceptados por la CNBV: estados de cuenta bancarios de los últimos 3 meses con identificación de la cuenta de origen, comprobantes de transferencia SPEI con datos completos de la cuenta emisora, contratos notariales que acrediten el origen de los fondos (escritura de compraventa, cesión de derechos), declaraciones fiscales del ejercicio en cuestión que acrediten la generación de los ingresos.

Paso 4 — Verificación del origen del patrimonio (SOW)

Para PPE y clientes de alto valor patrimonial, obtenga documentación que acredite cómo el cliente acumuló su patrimonio global: declaraciones fiscales de los últimos 2 a 3 ejercicios (persona física o moral), estados financieros auditados, escrituras de bienes inmuebles, contratos de trabajo con comprobantes de nómina, actas de sucesión o donación. Si el cliente justifica el patrimonio con "ahorro", el sujeto obligado debe exigir documentación bancaria y fiscal plurianual que respalde esa afirmación.

Paso 5 — Aprobación del consejo o dirección

Las Disposiciones de Carácter General de la CNBV exigen que el inicio o mantenimiento de la relación de negocio con una PPE cuente con la aprobación del consejo de administración o de la dirección general de la institución. Esta aprobación debe registrarse por escrito, con indicación del cargo del aprobador, la fecha y los fundamentos de la decisión.

Paso 6 — Seguimiento reforzado de operaciones

Establezca alertas específicas y umbrales de monitoreo adaptados al perfil de riesgo del cliente. Para PPE y clientes de alto riesgo, la revisión del expediente debe ser al menos semestral. El sistema de monitoreo debe detectar patrones como fraccionamiento de operaciones (smurfing), cambios bruscos en el volumen de transacciones, y operaciones con contrapartes en jurisdicciones de riesgo.

Paso 7 — Documentación, registro y conservación

El Art. 18 de la LFPIORPI y el Art. 115 de la LIC imponen la conservación de los registros de operaciones y expedientes de clientes por un plazo de 5 años. Para la DDR, la documentación debe mantenerse de forma que permita la reconstrucción de las evaluaciones realizadas y de las decisiones adoptadas. Documente las conclusiones del análisis de riesgo y las justificaciones de las medidas aplicadas.

Documentación exigida en la DDR según la CNBV

La documentación requerida varía según el tipo de cliente y el desencadenante específico de la DDR. La siguiente tabla recoge los documentos más frecuentemente requeridos en el contexto mexicano:

DDC estándar vs DDR (EDD) en México: diferencias prácticas

Monitoreo continuo y reporte a la UIF

La DDR no termina con el ingreso del cliente: es un proceso continuo a lo largo de toda la relación de negocio. Las Disposiciones de Carácter General de la CNBV y la LFPIORPI imponen vigilancia permanente, con intensidad proporcionalmente mayor para clientes de alto riesgo.

Las prácticas de monitoreo continuo recomendadas incluyen:

• Revisión periódica del expediente DDR: mínimo semestral para PPE y clientes de países de alto riesgo; al menos anual para otros perfiles de riesgo elevado. La revisión debe quedar documentada formalmente.
• Alertas transaccionales específicas: umbrales más bajos que en la DDC estándar, detección de fraccionamiento de operaciones, transacciones con contrapartes en jurisdicciones de riesgo, operaciones con activos virtuales sin justificación económica aparente.
• Verificación de cambios de estado: consulta periódica a listas de PPE actualizadas, listas de sanciones de OFAC, ONU y UE, y seguimiento de cambios en la estructura societaria del cliente.
• Reevaluación ante eventos desencadenantes: nombramiento o remoción de cargo público, reestructuración societaria relevante, operación atípica de gran valor, apertura de investigación judicial o administrativa.

Reportes a la UIF y al SAT: diferencias clave que todo profesional debe conocer

Una de las consultas más frecuentes entre los profesionales de cumplimiento en México es la diferencia entre los reportes que se envían al SAT y los que se envían a la UIF. La distinción es fundamental:

Reportes al SAT (bajo LFPIORPI — Actividades Vulnerables): El SAT actúa como supervisor de cumplimiento para las personas físicas y morales que realizan Actividades Vulnerables definidas en el Art. 17 de la LFPIORPI (notarías, agentes inmobiliarios, joyerías, arrendadoras, comerciantes de vehículos, entre otras). Las obligaciones incluyen:

• Aviso de operaciones (al SAT): cuando se realizan operaciones en efectivo o en especie que alcanzan los umbrales establecidos en pesos (por ejemplo, operaciones inmobiliarias en efectivo por encima de 8,025 UMAS mensuales). Este aviso se presenta a través del portal del SAT.
• Los avisos del SAT se compilan y se trasladan a la UIF para el análisis de inteligencia financiera.

Reportes directamente a la UIF (sector financiero supervisado por CNBV, Banxico, CNSF, CONSAR): Las instituciones del sistema financiero —bancos, casas de bolsa, ITF, aseguradoras, AFORES— reportan directamente a la UIF a través del sistema electrónico correspondiente. Los tipos de reportes son:

• Reporte de Operaciones Relevantes (ROR): operaciones en efectivo o equivalentes que superan el umbral de 10,000 dólares o su equivalente en pesos en un solo día por cliente.
• Reporte de Operaciones Inusuales (ROI): operaciones que, independientemente del monto, no tienen justificación económica razonable o son inconsistentes con el perfil del cliente. Este es el reporte de mayor relevancia en el contexto DDR.
• Reporte de Operaciones Preocupantes (ROP): operaciones identificadas por los directivos o empleados de la institución como potencialmente relacionadas con lavado de activos, cuando no califican como inusuales bajo los criterios formales.

La clave de la distinción es que el SAT es el receptor para Actividades Vulnerables (sector no financiero), mientras que la UIF es el receptor directo para el sector financiero regulado. Sin embargo, en ambos casos la información fluye hacia la UIF para el análisis de inteligencia centralizado. Una institución financiera regulada por la CNBV que también realiza actividades que califican como vulnerables bajo LFPIORPI debe cumplir con ambas vías de reporte.

Según el Informe ACFE 2024 Report to the Nations, solo el 37% de los fraudes se detecta mediante controles manuales, con un retraso medio de detección superior a 80 días. El monitoreo automatizado reduce estructuralmente ese plazo.

Para una guía completa sobre anti-money laundering en México, consulte nuestra guía AML de cumplimiento.

Automatizar la DDR con CheckFile

La instrucción manual de un expediente DDR completo —verificación de INE, RFC y CURP, recopilación de SOF y SOW, identificación del beneficiario controlador, aprobación directiva, monitoreo continuo— puede consumir horas de trabajo del equipo de cumplimiento. El riesgo operacional es alto: documentos vencidos, inconsistencias entre documentos distintos, falta de trazabilidad en las decisiones de aprobación son los principales motivos de observación en revisiones de la CNBV.

CheckFile automatiza las etapas repetitivas y de mayor riesgo de este proceso:

• Verificación documental automatizada: autenticación de credencial INE, pasaporte, actas constitutivas y estados de cuenta mediante inteligencia artificial, con detección de alteraciones, falsificaciones y documentos sintéticos (deepfakes).
• Validación de INE, RFC y CURP: integración con bases de datos oficiales para confirmar vigencia y regularidad antes de abrir el expediente DDR, detectando inconsistencias entre documentos.
• Recopilación estructurada de documentos DDR: flujos de trabajo configurables que solicitan al cliente exactamente los documentos necesarios según el desencadenante identificado (PPE, país de riesgo, estructura compleja), con instrucciones claras sobre qué es aceptado por la CNBV.
• Identificación del beneficiario controlador: módulos de mapeo de estructura societaria que facilitan el cumplimiento de la reforma CFF 2022, documentando la cadena de control hasta la persona física final.
• Integración con listas de PPE y sanciones: cotejo en tiempo real contra bases de datos de PPE y sanciones internacionales (OFAC, ONU, UE), con alertas automáticas ante coincidencias.
• Monitoreo continuo: notificaciones automáticas cuando un cliente existente aparece en nuevas listas de PPE o sanciones, o cuando su documentación está próxima a vencer.
• Trazabilidad de auditoría: expediente completo con marca temporal, historial de documentos, registro de aprobaciones y justificaciones, para facilitar revisiones de la CNBV o requerimientos de la UIF.

La plataforma se integra vía API con sistemas de gestión documental, herramientas de screening de PPE/sanciones y CRMs existentes. Descubra cómo CheckFile apoya a las instituciones financieras y a los sujetos obligados en el cumplimiento eficiente de sus obligaciones DDR. Consulte nuestra política de seguridad y los planes disponibles.

Para una presentación completa de nuestras capacidades de automatización, visite CheckFile.ai.

Preguntas frecuentes

¿Cuál es la diferencia entre un aviso al SAT y un reporte a la UIF bajo el régimen mexicano de PLD?

La distinción es de ámbito subjetivo: el SAT recibe los avisos de las personas y empresas que realizan Actividades Vulnerables definidas en el Art. 17 de la LFPIORPI (sector no financiero: notarías, inmobiliarias, joyerías, arrendadoras, entre otras). La UIF recibe directamente los reportes de las instituciones del sistema financiero regulado (bancos, casas de bolsa, ITF, aseguradoras, AFORES) supervisadas por CNBV, Banxico, CNSF y CONSAR. En ambos casos, la inteligencia financiera fluye hacia la UIF. Si una entidad realiza tanto actividades financieras reguladas como actividades vulnerables, tiene obligaciones de reporte en ambas vías. No se trata de reportar lo mismo dos veces: son obligaciones distintas basadas en marcos legales diferentes (Art. 115 LIC para el sector financiero; LFPIORPI para actividades vulnerables).

¿Cómo funciona la identificación del beneficiario controlador tras la reforma de 2022 al CFF?

La reforma al Código Fiscal de la Federación de 2022 obligó a todas las personas morales y fideicomisos a identificar e inscribir a su beneficiario controlador (UBO) en el registro del SAT. El beneficiario controlador es la persona física que, directa o indirectamente, ejerce control sobre la entidad o que es la propietaria final de más del 25% del capital. Para efectos de la DDR, la institución financiera debe obtener y verificar esta información, cotejándola con el registro del SAT cuando sea posible y documentando la cadena de control completa. La omisión en la identificación del beneficiario controlador puede resultar en multas de hasta 2 millones de pesos por parte del SAT a la persona moral.

¿Cuándo termina la obligación de DDR con una PPE?

La obligación de diligencia reforzada para una PPE no cesa automáticamente cuando la persona abandona su cargo. Las Disposiciones de la CNBV establecen que el sujeto obligado debe mantener el tratamiento DDR mientras el riesgo asociado al historial público del cliente sea relevante. En la práctica, la mayoría de las instituciones mantienen el estatus DDR por un mínimo de 12 a 24 meses tras el cese del cargo, realizando después una evaluación individualizada de riesgo para determinar si procede reclasificar al cliente.

¿Qué ocurre si el cliente se niega a proporcionar documentación de origen de recursos o patrimonio?

Si el cliente se niega a aportar la documentación exigida para la DDR, el sujeto obligado no puede iniciar o debe poner fin a la relación de negocio. Esta obligación está prevista en las Disposiciones de la CNBV y en el Art. 18 de la LFPIORPI. Adicionalmente, si la negativa genera indicios de operación inusual, la institución debe evaluar la presentación de un Reporte de Operaciones Inusuales (ROI) ante la UIF, o un aviso al SAT si se trata de una actividad vulnerable. La negativa en sí misma es un factor de riesgo que debe documentarse en el expediente del cliente.

¿Cuáles son las sanciones por no aplicar la DDR cuando es obligatoria?

La omisión de medidas de diligencia reforzada puede resultar en: (1) multas de la CNBV de hasta el 0.1% del capital pagado mínimo por día, o hasta 10 millones de pesos; (2) multas del SAT para Actividades Vulnerables de entre 200 y 65,000 días de salario mínimo; (3) en casos de involucramiento directo en lavado de activos, pena de prisión de 5 a 15 años conforme al Art. 400 Bis del Código Penal Federal. Adicionalmente, la CNBV puede revocar la autorización de operaciones o inhabilitar a los directivos responsables. La UIF también puede solicitar el congelamiento de activos cuando existen indicios de lavado en trámite.

¿Cómo determinar si un país está en la "lista de alto riesgo" para efectos de DDR en México?

Las referencias principales son: (1) la lista de jurisdicciones de alto riesgo (lista negra) y la lista de jurisdicciones bajo monitoreo intensificado (lista gris) del GAFI/FATF, actualizadas periódicamente; (2) los criterios establecidos por la UIF en sus tipologías y disposiciones; (3) las listas de países sancionados publicadas por OFAC, ONU y UE. Cualquier nexo del cliente o de la operación con estas jurisdicciones activa automáticamente la DDR, independientemente del perfil individual del cliente. Las listas deben consultarse de forma continua, dado que se actualizan varias veces al año.

---

Fuentes y referencias normativas

• LFPIORPI — DOF 17/10/2012 — Diario Oficial de la Federación
• UIF — Unidad de Inteligencia Financiera — Secretaría de Hacienda y Crédito Público
• CNBV — Comisión Nacional Bancaria y de Valores — Disposiciones de Carácter General
• SAT — Servicio de Administración Tributaria — Portal Actividades Vulnerables — SAT
• Código Fiscal de la Federación — Reforma 2022 Beneficiario Controlador — SAT
• Recomendaciones del GAFI/FATF — Rec. 10 y 12 — FATF
• ACFE — Report to the Nations 2024