ComplianceShield · el artículo
Le vendieron la herramienta. La obligación se quedó fuera, y no fue un descuido.
Hay una versión cómoda de esta historia que culpa al comprador por no haber leído bien. Es falsa. Lo que ocurre tiene una explicación económica sencilla, documentada, y con una fecha que se puede verificar: el 16 de julio de 2025. Este artículo explica el patrón, sin alarmas y sin nombres.
16 de julio de 2025
Primero, la fecha. Y todo lo que no se movió con ella
El 16 de julio de 2025 se publicó en el Diario Oficial de la Federación la reforma a la ley mexicana de prevención e identificación de operaciones con recursos de procedencia ilícita. Tres cambios que importan a cualquiera que realice una de las actividades vulnerables del artículo 17: la conservación de registros pasó a diez años, entró la obligación de identificar al beneficiario controlador —la persona física que realmente controla al cliente— y el aviso quedó fijado al día 17 del mes siguiente al de la operación.
Es una reforma razonable y ninguna de las tres cosas es sorprendente para quien sigue el dominio. Lo interesante es lo que no se movió con ella. No se movió el umbral de la mayoría de las actividades, porque los umbrales no están en pesos: están en unidades de medida y actualización, y se recalculan cada año por su cuenta. No se movió el sujeto obligado: sigue siendo la empresa, no su proveedor de software. Y no se movió el formato: el aviso se sigue presentando por el portal de la autoridad, con el formato que la autoridad publica.
Esos tres hechos, juntos, describen un problema de ingeniería muy concreto: un sistema de cumplimiento mexicano tiene que llevar dentro una tabla de umbrales indexada a una unidad que cambia cada año, un esquema de archivo con horizonte de diez años, un bloque de expediente para una figura que se agregó en 2025 y un generador de archivo que cumple el formato de una autoridad. Cuatro cosas que sólo existen en México.
Un producto diseñado para otro mercado no tiene ninguna de las cuatro. No porque esté mal hecho: porque nadie se lo pidió. Ese es el artículo entero, y el resto es explicar por qué esa ausencia se le facturó a usted.
La norma se movió. Lo que nadie le dijo es cuál de las dos partes del contrato iba a pagar ese movimiento.
El patrón, no el insulto
El software global no puede llevar su norma dentro, y además no le conviene
Empecemos por la parte honesta del argumento: un fabricante global de software de cumplimiento toma una decisión perfectamente racional cuando deja la ley mexicana fuera del producto. Su mercado son decenas de jurisdicciones. Cada una tiene su propia lista de sujetos obligados, sus propios umbrales, su propio formato de reporte y su propio calendario. Meter todas dentro del producto significaría mantener decenas de módulos regulatorios, cada uno con su equipo legal, para vender en mercados que representan una fracción pequeña de sus ingresos.
Así que hace lo sensato: construye el núcleo común. Datos de personas y entidades de riesgo, cotejo de nombres, gestión de casos, flujos de aprobación, reportes al consejo. Todo eso sirve en cualquier país. Y deja la parte local —la que convierte todo eso en un aviso presentado a tiempo— como proyecto de configuración, que se cotiza aparte y lo ejecuta un socio implementador.
Ahí está el patrón, y no tiene nada de malo hasta que se mira desde el lado del comprador. Porque lo que para el fabricante es «flexibilidad para adaptarse a regulaciones locales» —y lo dice con orgullo, y con razón desde su punto de vista— para usted significa exactamente una cosa: la parte específicamente mexicana de su obligación es un proyecto de desarrollo que usted financia.
Y ese proyecto tiene una característica incómoda: no termina. Los umbrales se recalculan cada año porque están en unidades de medida y actualización. El formato de la autoridad se actualiza. Las listas oficiales publicadas en el Diario Oficial cambian. En 2025 entró una figura nueva en el expediente. Cada uno de esos movimientos es, en el modelo de proyecto, una orden de cambio: alcance, cotización, calendario, aprobación.
Nadie le mintió. Le vendieron un núcleo de cumplimiento, que es lo que tenían, y la conversación sobre quién paga la parte mexicana se dio después de la firma, cuando el poder de negociación ya había cambiado de lado. Eso no es un fraude: es un modelo de negocio. Y es el modelo, no usted, el responsable de que el resultado se vea como se ve.
Cuando un proveedor presume de ser flexible a la regulación local, está describiendo con precisión lo que le va a cobrar aparte.
Cinco huecos con nombre
Lo que queda fuera cuando lo que se compra es la lista
El caso más común en México no es el de la suite corporativa. Es el de la plataforma internacional de listas de riesgo, contratada con toda sensatez por una empresa que planteó su problema así: «necesito saber si mis clientes están en alguna lista». Es una plataforma que hace bien lo que hace. El asunto es que cotejar listas es, en el ciclo de la ley mexicana, uno de nueve pasos.
Los otros ocho no se compraron, y por eso siguen ahí. Vale la pena nombrarlos, porque cada uno tiene un momento en el que se descubre, y el peor de todos es durante una visita de verificación.
- El alta en el padrón de actividades vulnerables. Es un trámite ante la autoridad, con su acuse, y es previo a la primera operación. Una plataforma de datos no lo sabe ni tiene por qué saberlo.
- El expediente de identificación del cliente. No es una búsqueda: es un conjunto de documentos con vigencias, con un bloque de beneficiario controlador desde 2025, y con la obligación de estar completo antes de operar. Varias plataformas de screening declaran explícitamente que no incluyen gestión documental. En México eso no es una limitación de alcance: es la mitad de la obligación.
- La medición de la operación en unidades de medida y actualización. Cada actividad vulnerable tiene su umbral, expresado en esa unidad, y la operación se mide contra el valor vigente en su fecha. Es aritmética, pero es aritmética indexada y con historia.
- La suma de operaciones para detectar fraccionamiento. La ley espera que usted acumule las operaciones de un mismo cliente en una ventana de tiempo, porque si no, partir una operación en tres deja de generar aviso. Ningún proveedor global consultado documenta ese cómputo. Es el hueco más silencioso de todos, porque no produce un error: produce un aviso que nunca se presentó.
El quinto y el que cierra la cadena: el aviso. El aviso se presenta en el formato que la autoridad publica, por su portal, a más tardar el día 17. Ningún proveedor global consultado documenta la generación de ese archivo. Y aquí conviene ser preciso, porque la frase importa: no es que lo haga mal. Es que no está en el producto, y la última milla —la única que la autoridad ve— se hace con otra herramienta, con un archivo intermedio y con una persona copiando.
Súmelos: usted acabó con una herramienta que le dice si un cliente está en una lista, y sin el aviso. Y el aviso es la obligación. Lo demás es trabajo preparatorio.
La pregunta correcta nunca fue «¿coteja listas?». Fue «¿presenta el aviso, y con qué evidencia detrás?».
El modelo de servicio
El despacho le arma el expediente, y el expediente se queda fuera de su sistema
El segundo camino más transitado en México no es un software: es un despacho. Y conviene decir de entrada que funciona. Un especialista que conoce la ley, que ha estado en visitas de verificación, que sabe cómo se redacta un dictamen de alerta y que le contesta el teléfono un viernes a las siete es un activo real. Muchas empresas están mejor con ese arreglo que con un sistema que nadie usa.
El problema del modelo no es la calidad del trabajo. Es dónde queda el resultado del trabajo. En el modelo de servicio, el expediente vive en el archivo del despacho: en su nomenclatura, en su carpeta, en su servidor, con su lógica interna. Usted recibe informes, avisos presentados y tranquilidad. Lo que no recibe, normalmente, es el expediente estructurado en un sistema que usted pueda abrir un martes sin avisarle a nadie.
Eso se vuelve visible en tres momentos, y ninguno es cómodo. El primero es la visita de verificación: la autoridad pide un expediente concreto y el tiempo para conseguirlo depende de que alguien más lo busque. El segundo es el cambio de despacho, que ocurre por razones perfectamente normales —precio, un socio que se va, un desacuerdo— y que obliga a reconstruir una parte del archivo. El tercero es el más largo: la ley pide conservar diez años. Un contrato de servicios rara vez dura tanto, y cuando se apagan las dos cosas a la vez, la obligación de conservación sigue siendo suya.
Fíjese en que ninguna de estas tres situaciones implica que el despacho hiciera algo incorrecto. Al contrario: hizo exactamente lo que se contrató. El desajuste está entre el plazo del servicio y el plazo de la obligación, y nadie lo puso en la mesa cuando se firmó, porque no era la conversación que tocaba.
Su expediente no debería estar en un servidor al que usted tenga que pedir acceso. Especialmente el que la ley le obliga a conservar diez años.
El mejor arreglo posible con un despacho es el que deja el expediente dentro de su sistema. Varios despachos trabajan mejor así, y lo dicen.
El tercer camino
La hoja de cálculo no es el problema. Es el síntoma
El tercer camino es el más extendido y el peor tratado en la literatura comercial de este dominio. En una cantidad muy grande de sujetos obligados mexicanos, el cumplimiento vive en un libro de cálculo que construyó la persona más competente del área: una pestaña por actividad, una fórmula para el umbral, una columna para la fecha del cotejo, un formato condicional que se pone rojo cerca del día 17.
Conviene decir en voz alta lo que casi ningún vendedor dice: esa hoja es un logro. Alguien leyó la ley, entendió los umbrales y construyó un control donde no había ninguno, normalmente sin presupuesto y sin que nadie se lo pidiera. Tratar a esa persona como el problema es la manera más rápida de perder al único aliado que hay dentro de la empresa.
La hoja tiene un límite y es muy preciso: funciona hasta que la norma mueve los umbrales. Y los umbrales de la ley mexicana se mueven solos, porque están expresados en unidades de medida y actualización y esa unidad se actualiza cada año. El día que la unidad cambia, todas las fórmulas de la hoja siguen calculando con el valor anterior, sin dar ningún error. La hoja no falla: responde perfectamente con el dato viejo.
A eso se le suman tres cosas que un archivo no puede dar, y que la autoridad pide: una bitácora de quién cambió qué y cuándo; un expediente documental asociado a cada cliente, con vigencias; y la imposibilidad de sobrescribir el pasado. Un libro de cálculo, por diseño, permite reescribir una celda de hace tres años sin dejar huella. Esa propiedad, que es su virtud como herramienta de trabajo, es exactamente lo que lo descalifica como evidencia.
Y hay un último riesgo que rara vez se nombra en una junta: el conocimiento está en la cabeza de quien la construyó. Cuando esa persona cambia de trabajo, la empresa se queda con el archivo y sin el criterio. En cumplimiento, el criterio era el activo.
La hoja de cálculo no fue un error de nadie. Fue la respuesta correcta a un mercado que no le ofreció otra cosa a su precio.
Cómo se reparte el riesgo
El modelo de venta le traslada el riesgo de construir, y lo llama alcance
Hasta aquí el artículo ha descrito tres caminos y sus límites. Ahora el patrón que los une, que es lo que de verdad explica el resultado: en el modelo dominante de este mercado, el riesgo de construir la parte mexicana de la obligación lo carga el comprador, y se le llama de otra manera.
Se le llama alcance, cuando lo que falta es la mitad de la ley. Se le llama configuración, cuando es desarrollo. Se le llama particularidad del cliente, cuando es la norma de un país de ciento treinta millones de habitantes. Se le llama orden de cambio, cuando lo que cambió fue el Diario Oficial y no usted. Y se le llama acompañamiento, cuando es la dependencia de un consultor sin la cual el producto no produce el aviso.
El mecanismo tiene tres piezas y funciona muy bien. Primera: el precio no se publica. De dieciséis proveedores del dominio revisados el 27 de septiembre de 2026, sólo uno publica una cifra de entrada verificable en su propio sitio; los otros quince remiten a contacto comercial. Sin precio público no hay comparación posible antes de la reunión, y la reunión la conduce quien vende.
Segunda: el plazo tampoco. Ninguno de los dieciséis publica plazo de implementación. Ninguno. Eso no es un descuido colectivo de dieciséis equipos de mercadotecnia: es que el plazo depende de una cola de trabajo que el proveedor no controla, y comprometerlo por escrito sería asumir el riesgo que el modelo traslada.
Tercera: el piso de precio filtra al comprador antes de que el comprador sepa que fue filtrado. Los análisis de precios de terceros publicados en 2025 y 2026 documentan pisos entre veintitrés mil ochocientos y cien mil dólares al año para las suites globales de gobierno, riesgo y cumplimiento, con techos que llegan al millón según módulos y usuarios. La inmobiliaria, la joyería, la agencia de autos, la notaría y el despacho de servicios profesionales —que son, literalmente, la lista del artículo 17— no son ese comprador. Y como no lo son, nadie construye para ellos.
Cuando toda una categoría calla el mismo dato, el dato no es el problema. El modelo de contratación lo es.
Un mercado donde nadie publica precio ni plazo no es un mercado opaco por casualidad. Es un mercado donde la opacidad es el producto.
Una nota sobre el tono
Por qué el miedo es el peor argumento de este dominio
Este es un buen momento para una advertencia sobre el material comercial de cumplimiento, incluido el nuestro. La manera más fácil de vender un sistema de prevención de lavado es poner la multa máxima en la portada, agregar el máximo penal, y dejar que el lector complete la frase. Funciona. También es la razón por la que muchos directores dejaron de leer los folletos de este dominio.
Las cifras de sanción existen y son públicas: la ley prevé multas expresadas en unidades de medida y actualización, la posibilidad de cancelación del padrón en ciertos supuestos, y delitos propios con pena de prisión. Y el máximo de quince años que circula en el material comercial del dominio corresponde en realidad al artículo 400 Bis del Código Penal Federal, no a la ley de actividades vulnerables. Conviene saberlo, sobre todo si alguien lo está usando para apurarle una firma.
Pero el argumento de este artículo no necesita la multa, y por eso no la usa como palanca. El argumento es de administración: usted tiene una obligación recurrente, con fecha fija mensual, con evidencia documental de horizonte largo, en un país cuyos umbrales se reindexan cada año. Eso es un proceso, no un sobresalto. Y los procesos se resuelven con sistemas, no con sustos.
La consecuencia práctica de tratarlo como proceso es que el sistema deja de ser un seguro contra una catástrofe y pasa a ser lo que en realidad es: la manera de que doce avisos al año salgan a tiempo sin que el oficial de cumplimiento trabaje tres fines de semana. Ese cálculo se sostiene en una sala de consejo. El otro, no.
Si un proveedor necesita asustarlo para explicarle su producto, es porque el producto no se explica por lo que hace.
El costo real
Dónde paga usted la factura de todo esto
El costo de este modelo no aparece en la factura del software. Aparece en cinco lugares distintos, y ninguno lleva la etiqueta «cumplimiento», que es precisamente por lo que nunca se suma.
En la nómina. Alguien dedica una parte de su semana a mover datos entre una herramienta y otra: del sistema de listas al archivo intermedio, del archivo al formato oficial, del formato al portal. Si esa persona cuesta lo que cuesta un oficial de cumplimiento con experiencia, la partida invisible es considerable, y crece con el volumen.
En la consultoría recurrente. Lo que empezó como acompañamiento de arranque se vuelve una partida fija, porque cada cambio de norma vuelve a necesitarla. A los tres años nadie recuerda que esa partida era temporal.
En el retrabajo de los expedientes viejos. Cuando entra una figura nueva —el beneficiario controlador, por ejemplo— no basta con capturarla de ahí en adelante: hay que volver sobre la cartera existente. Ese trabajo se hace una vez por cada cambio estructural de la norma, y se hace a mano cuando el sistema no lo trae dentro.
En el costo por consulta. Si el contrato cobra por cotejo, la organización aprende sola a cotejar menos. No hay una instrucción escrita en ningún lado que diga «coteje sólo lo indispensable»: simplemente pasa, porque la factura enseña. Y la ley premia lo contrario.
Y en el día de la visita. Aquí el costo no es dinero: es tiempo de dirección. Una visita de verificación con el expediente disperso consume la agenda de las personas más caras de la empresa durante días, y termina en una lista de compromisos que hay que cumplir con plazo. Ese costo no se presupuesta nunca, y es el más alto de los cinco.
El software más caro del mercado no es el de la licencia más alta. Es el que deja la última milla fuera del alcance.
La otra manera
Qué cambia cuando la evidencia es un subproducto de la operación
Hay una manera distinta de plantear el problema, y no consiste en tener más funciones. Consiste en invertir el orden: en lugar de operar primero y armar la evidencia después, que el acto de operar produzca la evidencia. Es una idea vieja en control interno y es la única que sobrevive a una visita.
En la práctica significa cosas muy concretas y bastante poco espectaculares. Que el expediente de identificación no se pueda cerrar sin el bloque del beneficiario controlador, porque el sistema no lo permite. Que el cotejo contra listas deje su resultado y su fecha pegados a la operación, no en un correo. Que el umbral se calcule con el valor de la unidad de medida y actualización vigente en la fecha de la operación, no en la de hoy. Que la alerta no se pueda cerrar sin dictamen y sin responsable. Que el aviso salga en el formato oficial y que su acuse quede guardado junto a la operación que lo originó.
Y que el día 17 no sea un recordatorio en el calendario de una persona, sino un indicador que preside el tablero de la dirección: avisos presentados en plazo sobre avisos exigibles del periodo. Cuando ese número está a la vista de quien manda, el cumplimiento deja de ser un tema del área de cumplimiento.
El efecto secundario de operar así es el que más se agradece después: la carpeta de la visita de verificación deja de ser un proyecto de tres semanas y se vuelve una consulta. No porque el sistema haga magia, sino porque cada pieza se guardó en el momento en que existía, con su fecha, y no se reconstruyó al final.
Conviene cerrar esta sección con el límite, porque sin el límite el argumento se vuelve publicidad: nada de esto le quita a usted la obligación. El sujeto obligado es la empresa. El dictamen lo firma una persona. La decisión de no operar con un cliente la toma la dirección. Lo que cambia no es quién responde: es si, cuando le pregunten, la respuesta está a la mano.
El cumplimiento no se demuestra con un manual firmado. Se demuestra con el expediente de cada cliente, cada operación y cada aviso, con su fecha.
Sin pronósticos
Lo que va a pasar, con las fechas que ya están escritas
Este artículo no va a predecir nada. Va a listar lo que ya está escrito, porque con eso alcanza para decidir.
Los umbrales se van a mover otra vez, y sin que nadie legisle. Están en unidades de medida y actualización, y esa unidad se actualiza cada año. Cualquier sistema, hoja de cálculo o procedimiento que tenga un umbral escrito en pesos va a quedar desalineado en la siguiente actualización, silenciosamente.
La conservación de diez años ya está corriendo. Desde la reforma del 16 de julio de 2025, los registros que usted tiene que poder mostrar cubren una década. Eso obliga a una decisión de arquitectura, no de configuración: dónde van a vivir esos expedientes, en qué formato y con qué garantía de lectura cuando el contrato con el proveedor actual haya terminado.
El beneficiario controlador no se va a ir. Es una figura alineada con los estándares internacionales del dominio y con la dirección del resto de la regulación mexicana. Quien todavía no tenga ese bloque dentro del expediente lo va a tener que construir, y va a ser más caro hacerlo sobre una cartera de clientes ya integrada.
Y el día 17 va a llegar doce veces al año. Es la parte menos dramática y la más decisiva: la obligación es recurrente, y las obligaciones recurrentes no se resuelven con esfuerzo, se resuelven con proceso.
Ninguna de estas cuatro cosas depende de que usted contrate algo. Las cuatro van a pasar igual. Lo único que se decide es con qué sistema le van a pasar.
El cierre
La conclusión, dicha sin adornos
Si usted tiene hoy una herramienta que coteja listas y un archivo que calcula umbrales, y el aviso lo arma una persona a mano contra el reloj del día 17, eso no ocurrió porque nadie de su equipo se equivocara. Ocurrió porque el mercado le ofreció dos cosas —un núcleo global sin su norma dentro, y un servicio profesional que se queda con el expediente— y ninguna de las dos incluía la última milla.
La conclusión no es que le vendieron mal. Es que le vendieron otra cosa, correctamente, y la obligación mexicana nunca estuvo en el alcance. Saber eso cambia la pregunta con la que uno entra a la siguiente reunión: ya no es qué funciones tiene el producto, sino quién carga con el riesgo de que su norma quede dentro, y qué pasa la próxima vez que el Diario Oficial la mueva.
Esa pregunta se puede hacer a cualquiera, incluidos nosotros. Y se puede verificar de una sola manera: viendo el sistema funcionando, con sus procesos dentro, antes de firmar cualquier cosa.
La obligación es suya y va a seguir siéndolo. Lo que se decide es si cumplir depende de una persona acordándose, o de un sistema haciéndolo.
Preguntas frecuentes
¿No es exagerado decir que la norma mexicana no viene dentro del software global?
Es verificable, no exagerado. De los proveedores globales revisados el 27 de septiembre de 2026, ninguno documenta públicamente la generación del aviso en el formato de la autoridad mexicana ni el cómputo de acumulación de operaciones que la ley espera. Lo que sí documentan es su núcleo de datos y de cotejo, que es lo que venden.
¿Están diciendo que mi proveedor actual me engañó?
No. Estamos diciendo que el alcance que usted compró y la obligación que usted tiene no son el mismo conjunto, y que esa diferencia se conversó después de la firma. La responsabilidad de ese orden es del modelo de venta, no de quien compró.
¿Por qué no publican la multa máxima en la portada, como todos?
Porque el argumento no la necesita y porque el miedo es mal consejero en una decisión de sistemas. Las sanciones son públicas y están en la ley, con sus artículos. El motivo para tener un sistema es que la obligación es mensual y la evidencia dura diez años.
Mi hoja de cálculo lleva cuatro años funcionando. ¿Qué tiene de malo?
Nada, y llegar hasta aquí con ella es mérito de quien la construyó. Su límite es preciso: los umbrales están indexados a una unidad que cambia cada año, y la hoja seguirá calculando con el valor anterior sin dar ningún error. A eso se suma que no guarda bitácora de quién cambió qué, y la bitácora es lo que la autoridad revisa.
¿Y si mi despacho hace bien su trabajo?
Entonces consérvelo. Lo único que conviene cambiar es dónde queda el expediente: en su sistema, en su poder y exportable, en lugar del archivo del despacho. La obligación de conservar diez años es de usted, no del despacho.
¿Qué me cuesta comprobar lo que dice este artículo?
Nada. El sistema está abierto en /sistemas/complianceshield/sistema/ sin registro y con datos de ejemplo marcados en pantalla. Y las cifras de la casa están en la página de evidencia, con su cita.
Referencias
- Cámara de Diputados · Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, texto vigente. Consultada el 27 de septiembre de 2026. ↗
- Diario Oficial de la Federación · Decreto de reforma publicado el 16 de julio de 2025: conservación por diez años, beneficiario controlador y presentación del aviso el día 17. ↗
- Cámara de Diputados · Código Penal Federal, artículo 400 Bis. ↗
- Secretaría de Hacienda y Crédito Público · Portal de prevención de lavado de dinero: padrón de actividades vulnerables, formatos oficiales y presentación de avisos. ↗
- Instituto Nacional de Estadística y Geografía · Unidad de Medida y Actualización, valores vigentes por año. ↗
- SPARTANE · revisión de sitios públicos de dieciséis proveedores del dominio de prevención de lavado y gobierno del cumplimiento, y compilación de análisis de precios de terceros de 2025 y 2026. Documento interno del 27 de septiembre de 2026; no se publican nombres.
- ComplianceShield · brochure de cumplimiento organizacional, cinco páginas. ↗
El modelo
Primero ve su sistema funcionando, sin costo y sin compromiso. Después decide si lo compra o lo renta.
No es un demo: es ComplianceShield con sus procesos, sus áreas y su operación dentro. Entra, lo recorre y lo usa. Verlo no cuesta nada y no lo compromete a nada. Cuando decida, cobramos por resultados, no por entregables.
Siga por aquí