KYC (Know Your Customer o Conoce a Tu Cliente) es el proceso mediante el cual una empresa verifica la identidad de sus clientes, evalúa su perfil de riesgo y comprende el origen de sus recursos antes de establecer una relación comercial. En México, el KYC es una obligación legal para entidades financieras reguladas por la CNBV —bancos, SOFOMEs, fintechs— bajo sus respectivas disposiciones de carácter general, y para actividades vulnerables bajo la LFPIORPI.
Un KYC correcto en México debe incluir identificación oficial, verificación de RFC y CURP, consulta de la Lista de Personas Bloqueadas y, obligatoriamente a partir de 2026, contra la nueva figura legal denominada Lista de Personas Políticamente Expuestas reconocida por el Reglamento, clasificación de riesgo del cliente e identificación del beneficiario controlador en personas morales. El 7 de agosto de 2026, el Acuerdo 115/2026 de la SHCP terminó de operativizar estos elementos: renombró el mecanismo de consulta de PEP como "Consulta PEP 2.0" y estableció un Enfoque Basado en Riesgos (EBR) formal para clasificar a los clientes en riesgo bajo, medio y alto.
KYC es una de las siglas más usadas en el mundo financiero y, paradójicamente, uno de los conceptos más mal implementados en la práctica.
En México, la brecha entre lo que la regulación exige del proceso de conocimiento del cliente y lo que la mayoría de las empresas realmente ejecutan es una de las principales fuentes de observaciones en las inspecciones de la Comisión Nacional Bancaria y de Valores(CNBV) y la Unidad de Inteligencia Financiera (UIF). No porque las organizaciones no quieran cumplir, sino porque el KYC se diseñó pensando en el trámite —recopilar documentos— en lugar de pensando en el objetivo: conocer realmente al cliente para detectar si representa un riesgo de lavado de dinero o financiamiento al terrorismo.
La diferencia entre recopilar documentos y conocer al cliente no es semántica. Es la diferencia entre un expediente que pasa una auditoría formal y un programa que realmente detecta operaciones de riesgo. Es la diferencia entre cumplir en papel y cumplir con efectividad.
Este artículo construye la guía técnica más completa disponible en español sobre KYC en México: qué es exactamente, qué exige el marco regulatorio mexicano en cada sector, cómo se implementa correctamente paso a paso, cuál es la tecnología necesaria para hacerlo a escala, y cuáles son los errores que más frecuentemente convierten un proceso de KYC aparentemente correcto en una brecha de cumplimiento. Esta versión incorpora, además, las precisiones que el Acuerdo 115/2026 de la SHCP añadió al marco de identificación de clientes.
Si eres oficial de cumplimiento, director jurídico, founder de una fintech, director de operaciones de una SOFOM o responsable de cumplimiento en una actividad vulnerable, esta guía está construida para ti.
KYC son las siglas de Know Your Customer (Conoce a Tu Cliente). Es el proceso estructurado mediante el cual una entidad obligada verifica la identidad de sus clientes, comprende la naturaleza y el propósito de la relación comercial, evalúa el nivel de riesgo que representa el cliente desde la perspectiva de lavado de activos y financiamiento al terrorismo, y monitorea de forma continua que el comportamiento del cliente sea consistente con su perfil declarado.
El KYC no es un evento único. Es un proceso continuo que comienza antes de establecer la relación comercial y termina cuando esa relación termina.
El KYC no es simplemente pedir una copia del INE y un comprobante de domicilio. Eso es identificación documental, que es solo el primer paso de un proceso más amplio.
Para las Actividades Vulnerables (sector no financiero), la reforma al LFPIORPI de 2026 introdujo un cambio radical en el KYC: las medidas simplificadas. Si la empresa evalúa a un cliente y lo clasifica como de bajo riesgo, la ley ahora permite cumplir con la identificación únicamente recabando los datos del documento oficial, sin necesidad de guardar la copia física o digital del INE. Esto acelera dramáticamente el onboarding comercial sin violar la ley. El Acuerdo 115/2026 confirmó que esa clasificación de riesgo bajo debe sustentarse en la metodología del Enfoque Basado en Riesgos (EBR) que las nuevas Reglas de Carácter General formalizaron: sin una matriz de riesgo documentada que respalde la clasificación, la medida simplificada no es defendible ante una auditoría.
El KYC no es un trámite de onboarding que se ejecuta una vez y se archiva. Un cliente cuyo perfil de riesgo cambia —porque su comportamiento transaccional se vuelve inconsistente con su actividad declarada, porque aparece en una lista de personas bloqueadas o porque cambia su posición política— requiere una actualización del KYC independientemente de cuándo fue incorporado.
El KYC no garantiza que el cliente es legítimo. Garantiza que la empresa hizo la diligencia razonable para conocerlo y evaluar su riesgo. La distinción importa porque el KYC correcto no elimina el riesgo de tener un cliente de mala fe; crea la evidencia de que la empresa actuó con la debida diligencia.
Estos tres términos se usan frecuentemente como sinónimos y no lo son. Entender su relación es fundamental para diseñar un programa de cumplimiento coherente.
AML (Anti-Money Laundering) o PLD (Prevención de Lavado de Dinero) es el programa completo de cumplimiento regulatorio que incluye políticas, procedimientos, controles internos, monitoreo transaccional, reporte de operaciones inusuales y capacitación del personal. Es el sistema integral.
KYC es uno de los procesos dentro del programa de PLD/AML. Es el componente de identificación y conocimiento del cliente. No puede reemplazar al programa completo, pero sin un KYC sólido ningún otro componente del programa puede funcionar correctamente: si no sabes quién es tu cliente, no puedes evaluar si sus transacciones son consistentes con su perfil.
KYB (Know Your Business o Conoce Tu Negocio) es la extensión del KYC aplicada a clientes que son personas morales. Implica verificar la existencia legal de la empresa, identificar a sus representantes, accionistas y —desde los criterios vigentes en México— al beneficiario controlador final. El Acuerdo 115/2026 añadió a este proceso un orden de prelación específico para determinar quién es el beneficiario controlador cuando la estructura tiene varios niveles (fideicomisos, sociedades tenedoras, vehículos de inversión): antes de este Acuerdo, la LFPIORPI y su Reglamento establecían la obligación de identificarlo, pero no el orden en que debían aplicarse los criterios cuando había más de una persona física candidata.
La relación entre los tres conceptos es jerárquica: el PLD/AML es el sistema; el KYC y el KYB son procesos dentro de ese sistema; la identificación documental es el primer paso dentro de esos procesos.
En México no existe una ley única de KYC. Las obligaciones de conocimiento del cliente están distribuidas en un conjunto de disposiciones regulatorias que varían según el tipo de entidad. Esta fragmentación es una de las principales fuentes de confusión para las organizaciones que intentan determinar exactamente qué deben hacer.
Las SOFOMEs reguladas, fintechs (IFPE e IFC), casas de bolsa, arrendadoras y demás entidades supervisadas por la CNBV tienen sus obligaciones de KYC establecidas en las Disposiciones de Carácter General específicas para cada tipo de entidad. Estas disposiciones definen los elementos mínimos del expediente de cliente, los mecanismos aceptados de verificación de identidad, los criterios de debida diligencia simplificada y reforzada, y los plazos de actualización de la información.
La característica común a todas estas disposiciones es que el KYC no termina en la recopilación de documentos: incluye la evaluación del riesgo del cliente y el monitoreo continuo de que su comportamiento sea consistente con su perfil.
Las empresas que realizan actividades vulnerables —inmobiliarias, notarías, joyerías, automotrices, centros cambiarios, servicios profesionales y las demás categorías del Artículo 17— tienen obligaciones de identificación del cliente establecidas en la LFPIORPI, su Reglamento y las Reglas de Carácter General emitidas por la SHCP para cada sector.
Las obligaciones de KYC para actividades vulnerables difieren de las de las entidades financieras en tres aspectos principales: se activan a partir de umbrales de monto (no aplican a todas las operaciones), el expediente requerido es menos extenso que el de una entidad financiera, y el proceso de actualización periódica es menos frecuente. Sin embargo, desde 2025 (y ratificado por la Reforma al Reglamento LFPIORPI del DOF 27/03/2026), la verificación del beneficiario controlador aplica también a las actividades vulnerables cuando el cliente es persona moral.
El 7 de agosto de 2026, la SHCP publicó el Acuerdo 115/2026, que modifica las Reglas de Carácter General de la LFPIORPI vigentes desde 2013 (reformadas en 2014 y 2020) y cierra el ciclo normativo iniciado con la reforma de julio de 2025. Para el expediente de KYC de una Actividad Vulnerable, este Acuerdo agrega piezas muy concretas:
Las instituciones de crédito tienen sus obligaciones de KYC en las Disposiciones de Carácter General a que se refiere el Artículo 115 de la Ley de Instituciones de Crédito. Son las disposiciones más detalladas y exigentes del sistema, y frecuentemente sirven como referencia para el diseño de programas de KYC en otros sectores, aunque no sean directamente aplicables a entidades no bancarias.
¿El Acuerdo 115/2026 cambia quién debe hacer KYC, o solo cómo debe hacerse? Sólo cómo debe hacerse. No amplía ni reduce el universo de sujetos obligados; modifica las Reglas de Carácter General para dar procedimiento operativo a obligaciones que la Ley (julio 2025) y el Reglamento (marzo 2026) ya habían creado, como el orden de prelación del beneficiario controlador y el monitoreo automatizado.
¿Qué es la "Consulta PEP 2.0"? Es el mecanismo actualizado de identificación de Personas Políticamente Expuestas que el Acuerdo 115/2026 incorporó a las Reglas de Carácter General, y que sustituye o actualiza el procedimiento de consulta que antes no tenía un estándar uniforme.
¿Necesito rehacer los expedientes KYC que ya tengo? No necesariamente rehacerlos, pero sí revisarlos: si el expediente de un cliente persona moral con estructura compleja no documenta el beneficiario controlador conforme al nuevo orden de prelación, ese expediente tiene un hueco que una auditoría puede señalar.
¿Dónde consulto el texto oficial del Acuerdo 115/2026? En el Diario Oficial de la Federación (dof.gob.mx, edición vespertina del 7 de agosto de 2026) y en el Portal de Prevención de Lavado de Dinero del SAT (sppld.sat.gob.mx).
En el sistema de prevención de lavado de dinero, el KYC ocupa el lugar que los cimientos ocupan en un edificio: es invisible cuando funciona bien y es el origen del colapso cuando falla.
Un programa de PLD con monitoreo sofisticado, reportes oportunos y auditoría robusta no puede funcionar correctamente si el KYC es deficiente. Porque si no sabes realmente quién es tu cliente —si no conoces su actividad, su perfil económico y el origen de sus recursos— no tienes la base para determinar si su comportamiento transaccional es inusual o normal. No tienes el punto de comparación que hace posible el monitoreo efectivo.
El KYC correcto en México en 2026 requiere tres cosas que la mayoría de las organizaciones no tiene simultáneamente: tecnología que automatice la verificación de identidad a la escala del negocio, metodología que convierta la información recopilada en una clasificación de riesgo accionable, y procesos que mantengan el expediente actualizado durante toda la vida de la relación comercial. Con el Acuerdo 115/2026 ya publicado (7 de agosto de 2026), el marco regulatorio que sostiene estas exigencias quedó completo: Ley (julio 2025), Reglamento (marzo 2026) y Reglas de Carácter General (agosto 2026). Ya no queda ninguna pieza normativa pendiente que justifique posponer la actualización del expediente KYC.
Las organizaciones que tienen las tres operan desde una posición de cumplimiento genuino que resiste auditorías, protege contra riesgos regulatorios y genera la confianza de sus contrapartes financieras y de inversión. Las que tienen solo una o dos —o ninguna— están construyendo un pasivo que en algún momento se vuelve visible al costo más alto posible.
Fuentes de esta actualización:
DOF — Acuerdo 115/2026 (SIDOF, publicación del 7 de agosto de 2026)
Regcheq
Equipo Regcheq
%20(1)-2.png?width=400&height=180&name=Banner%20Blog%20PLDX%20(1180%20x%20460%20px)%20(1)-2.png)
Due diligence en inmobiliarias: cómo prevenir el lavado de dinero
30 jul 2026
%20(3)-1.png?width=400&height=180&name=Banner%20Blog%20PLDX%20(1180%20x%20460%20px)%20(3)-1.png)
Los 6 errores más frecuentes al elegir un software de PLD en México
26 jun 2026
%20(2)-2.png?width=400&height=180&name=Banner%20Blog%20PLDX%20(1180%20x%20460%20px)%20(2)-2.png)
¿Cómo elegir la mejor opción de software de PLD en México?
23 jun 2026