KYC Remediation en México: guía completa para actualizar expedientes de clientes

La KYC remediation es el proceso sistemático de revisión, actualización y re-verificación de los expedientes de clientes ya incorporados, para garantizar su conformidad con los requisitos regulatorios vigentes en México. Esta obligación deriva principalmente de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), de las Disposiciones de carácter general en materia de PLD/FT emitidas por la Comisión Nacional Bancaria y de Valores (CNBV), y de las normativas emitidas por el Servicio de Administración Tributaria (SAT) en materia de identificación de clientes.

La Unidad de Inteligencia Financiera (UIF) — la unidad de inteligencia financiera mexicana, dependiente de la Secretaría de Hacienda y Crédito Público (SHCP) — ha intensificado su supervisión sobre las entidades financieras y las actividades vulnerables en materia de actualización de expedientes de identificación. Las deficiencias en la KYC remediation se encuentran entre los fundamentos más frecuentes de los procedimientos de sanción iniciados por la CNBV y la UIF.

Este artículo es únicamente informativo y no constituye asesoramiento jurídico, financiero ni regulatorio.

Para una visión general del marco KYC, consulte nuestra guía completa de KYC para empresas.

¿Qué es la KYC remediation?

La KYC remediation — también denominada «actualización de expedientes» o «revisión periódica de clientes» — consiste en la revisión retroactiva de los expedientes de clientes ya dados de alta para corregir las deficiencias documentales o de perfilado de riesgo que no cumplen con la normativa mexicana vigente.

Se distingue del KYC inicial — la debida diligencia aplicada al momento de incorporar a un nuevo cliente — en que actúa sobre relaciones de negocio preexistentes, a menudo constituidas bajo estándares regulatorios anteriores que han quedado desactualizados tras las sucesivas reformas de las Disposiciones de la CNBV.

Las Disposiciones de carácter general en materia de prevención de operaciones con recursos de procedencia ilícita y financiamiento al terrorismo (PLD/FT) de la CNBV, en su Artículo 12, establecen que las entidades financieras deberán mantener actualizada la información y documentación de sus clientes durante toda la vigencia de la relación comercial, con una periodicidad mínima según el nivel de riesgo. Las instituciones que no cuenten con programas sistemáticos de remediation se expondrán a sanciones durante las inspecciones de la CNBV.

Marco regulatorio mexicano de la KYC remediation

El fundamento legal de la KYC remediation en México descansa en cuatro instrumentos principales:

1. LFPIORPI (2012) y su Reglamento — obligaciones de identificación y conocimiento del cliente para actividades vulnerables (notarios, inmobiliarios, contadores, casinos, entre otras)
2. Disposiciones CNBV en materia de PLD/FT — obligaciones específicas para instituciones financieras: bancos, casas de bolsa, aseguradoras
3. Disposiciones de Banco de México (Banxico) — aplicables a las instituciones que operan con divisas y a las plataformas de activos virtuales
4. Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) — regula el tratamiento de datos personales durante el proceso de remediation

Según el Informe de Actividades de la UIF 2023, el número de reportes de operaciones inusuales (ROI) y reportes de operaciones internas inusuales (ROII) creció un 19% en ese año respecto a 2022, en un contexto de reforzamiento de las obligaciones de monitoreo continuo y actualización de expedientes.

Los principales desencadenantes de una campaña de KYC remediation en México son:

• Cambio normativo: actualización de las Disposiciones de la CNBV, nuevas circulares de la UIF o cambios en las guías del GAFI
• Revisión periódica del riesgo: expiración del ciclo de revisión (1 año para clientes de riesgo alto, 3 años para riesgo medio, 5 años para riesgo bajo)
• Coincidencia en listas de PEPs o sanciones: detección de un cliente en las listas de la UIF, OFAC o el Comité de Sanciones de la ONU
• Operación inusual: transacción inconsistente con el perfil del cliente que genera un ROI
• Fusión o adquisición: incorporación de una cartera de clientes con estándares de identificación heredados de otra entidad
• Vencimiento documental: INE (credencial para votar) o pasaporte caducados, RFC desactualizado

El análisis interno de la plataforma CheckFile sobre más de 840.000 expedientes KYC bancarios procesados muestra que el 23% de los expedientes con más de tres años contienen al menos un documento caducado, y el 11% presentan discrepancias entre la dirección declarada y el comprobante de domicilio más reciente.

El proceso de KYC remediation en 6 pasos

Un proceso de remediación estructurado en el contexto mexicano sigue seis pasos secuenciales, conforme al marco de las Disposiciones CNBV y la LFPIORPI.

Paso 1: Análisis de brechas (gap analysis)

Revisión sistemática de la cartera de clientes para identificar expedientes con documentación incompleta, vencida o no conforme con los estándares actuales. El resultado es una lista priorizada de expedientes a remediar.

Paso 2: Estratificación por nivel de riesgo

Reclasificación de cada cliente según la metodología de evaluación de riesgo actualizada. En el contexto mexicano, factores de riesgo específicos incluyen: sector de actividad (construcción, comercio internacional, casas de cambio, prestamistas), jurisdicción de origen, exposición como Persona Políticamente Expuesta (PPE) y operaciones transfronterizas con Estados Unidos.

Paso 3: Priorización y planificación

Las Disposiciones CNBV establecen que los clientes clasificados como de alto riesgo, incluyendo las PPE y los clientes en jurisdicciones de alto riesgo según la lista del GAFI, deben revisarse al menos anualmente. Se define un plan de remediación con plazos concretos por segmento de clientela.

Paso 4: Contacto con el cliente y recolección de documentación

Se contacta con los clientes para solicitar la documentación actualizada. En México, los documentos válidos para KYC incluyen: INE (credencial para votar), pasaporte, cédula profesional (para personas físicas) y acta constitutiva actualizada + RFC con homoclave (para personas morales). Las plataformas digitales de recolección documental reducen el tiempo de procesamiento en más del 80%.

Paso 5: Re-verificación y validación

Verificación de autenticidad y coherencia de los documentos recibidos. Cotejo con fuentes oficiales: Instituto Nacional Electoral (INE) para validación de credenciales para votar, Registro Público de Comercio para datos de personas morales, y bases de datos de PPE de la UIF. Las anomalías se escalan al responsable de cumplimiento (Oficial de Cumplimiento).

Paso 6: Actualización del expediente y pista de auditoría

El expediente del cliente se actualiza en el sistema de gestión. Cada acción queda registrada con fecha, operador y resultado. Esta pista de auditoría es fundamental durante una inspección de la CNBV o de la UIF, y en los procesos de revisión del SAT.

Documentación requerida por tipo de cliente (contexto mexicano)

Para las personas morales, la identificación de los propietarios reales (beneficiarios finales con participación directa o indirecta superior al 25%) se rige por el Artículo 22 de las Disposiciones CNBV PLD/FT. Cualquier divergencia entre la estructura declarada por el cliente y la información registrada en el Registro Público de Comercio debe ser documentada y resuelta.

Consulte nuestra checklist de debida diligencia del cliente por sector para una lista documental adaptada a su sector.

Especificidades mexicanas de la KYC remediation

La LFPIORPI y las actividades vulnerables son una particularidad del marco mexicano. A diferencia de otros países donde las obligaciones AML recaen principalmente sobre las instituciones financieras, en México la LFPIORPI extiende estas obligaciones a 16 «actividades vulnerables» no financieras, entre las que se incluyen notarios, inmobiliarios, contadores, joyeros y organizadores de juegos con apuesta. Estas entidades están obligadas a presentar avisos ante la UIF y a actualizar periódicamente los expedientes de identificación de sus clientes.

La estructura federal-estatal implica que ciertas obligaciones de identificación varían según el estado. Los notarios, por ejemplo, actúan bajo legislaciones notariales estatales que pueden tener requisitos adicionales respecto a la identificación de partes contratantes.

La INE como documento primario de identidad distingue México de la mayoría de los países hispanohablantes. La credencial para votar emitida por el INE es el documento de identidad más ampliamente aceptado para KYC en México, dado que incluye fotografía, datos biométricos y número de folio verificable en línea. Su vigencia es de 10 años, lo que facilita la planificación de ciclos de revisión.

La plataforma CheckFile automatiza la verificación de documentos de identidad mexicanos (INE), consultas al Registro Público de Comercio, comprobantes de domicilio y estados de cuenta. Cada verificación genera una pista de auditoría compatible con los requisitos de supervisión de la CNBV y la UIF.

Consulte nuestra política de seguridad y nuestros precios para calcular el ROI de la automatización de su campaña de remediation.

Para profundizar en su estrategia de cumplimiento documental, consulte nuestra guía de conformidad documental.

Preguntas frecuentes

¿Cuál es la diferencia entre KYC remediation y actualización de expedientes en México?

«Actualización de expedientes» es el término utilizado en las Disposiciones CNBV para el mismo proceso que internacionalmente se denomina «KYC remediation». Ambos conceptos designan la revisión y re-verificación periódica de los datos y documentos de clientes existentes para garantizar su conformidad con los requisitos de PLD/FT vigentes.

¿Con qué frecuencia deben actualizarse los expedientes KYC en México?

Las Disposiciones CNBV establecen como práctica mínima: anualmente para clientes de alto riesgo (incluyendo PPE y clientes de jurisdicciones de riesgo elevado), trienalmente para clientes de riesgo medio y quinquenalmente para clientes de riesgo bajo. Estos ciclos deben estar formalizados en el manual de PLD/FT de la entidad. Cualquier evento desencadenante (operación inusual, coincidencia en listas) obliga a una revisión inmediata.

¿Qué ocurre si un cliente no responde a la solicitud de actualización documental?

Tras un número documentado de intentos de contacto sin respuesta, la entidad puede proceder al bloqueo de operaciones o a la cancelación del contrato, conforme a lo previsto en su manual de PLD/FT y en las Disposiciones CNBV. Si la falta de respuesta genera sospechas razonables de lavagem de capitales, el Oficial de Cumplimiento debe evaluar la presentación de un Reporte de Operaciones Inusuales (ROI) ante la UIF.

¿La LFPIORPI obliga a las actividades vulnerables a realizar KYC remediation?

Sí. Las 16 actividades vulnerables listadas en el artículo 17 de la LFPIORPI están obligadas a identificar y mantener actualizada la información de sus clientes en relaciones de negocio continuas. El incumplimiento puede generar sanciones de hasta 65,000 UMAs (aproximadamente 6 millones de pesos mexicanos) por infracción.

¿Cuáles son las sanciones por incumplimiento de las obligaciones KYC en México?

La CNBV puede imponer multas de hasta 100,000 días de salario mínimo (aproximadamente 1.3 millones de pesos) para infracciones graves, así como sanciones de inhabilitación a directivos responsables. Las infracciones a la LFPIORPI pueden sancionarse con hasta 65,000 UMAs. En casos de complicidad con actividades de lavado de dinero, pueden iniciarse acciones penales bajo el Código Penal Federal.