KYC y PLD: cómo construir un expediente digital que puedas explicar en una auditoría
Fecha editorial: 15 de octubre de 2026 · Borrador para revisión
Un expediente digital KYC debe permitir reconstruir qué información recibió tu empresa, cómo la verificó, quién resolvió las inconsistencias y por qué autorizó o detuvo una relación. Guardar identificaciones y resultados en una carpeta es apenas una parte: necesitas relacionar cada evidencia con una decisión y con el criterio aplicable en ese momento.
Para Compliance y PLD, la pregunta útil es: ¿otra persona puede entender este caso sin llamar a quien lo aprobó? Si la respuesta depende de correos dispersos o de la memoria del analista, conviene ordenar el proceso desde el enrolamiento.
1. Define qué obligación aplica antes de pedir documentos
KYC —conocimiento del cliente— forma parte de los controles de prevención de lavado de dinero. Sin embargo, no existe una lista universal de documentos para cualquier empresa mexicana. Las entidades financieras tienen regímenes sectoriales; las Actividades Vulnerables del artículo 17 de la LFPIORPI deben analizarse dentro de su propio ámbito. La distinción aparece en los artículos 14 a 18 de esa ley. [1]
Para estas últimas, el artículo 18 contempla identificación, información sobre actividad u ocupación cuando existe relación de negocios, identificación del beneficiario controlador en los supuestos correspondientes y conservación de documentación. [1] Traduce los requisitos aplicables a una matriz: obligación, supuesto, evidencia, responsable y fundamento. Separa los controles adicionales que tu empresa adopta como buena práctica.
La fecha también importa. El Acuerdo 115/2026, publicado el 7 de agosto de 2026, establece entrada en vigor general el 30 de noviembre de 2026, con excepciones y plazos específicos. A la fecha de redacción, no corresponde presentar todo su contenido como exigible. Revisa sus transitorios antes de cambiar una política o evaluar un expediente histórico. [2]
2. Organiza evidencia que responda preguntas concretas
Como diseño operativo, utiliza un identificador de expediente que conecte solicitud, documentos, consultas, revisiones y resolución. Distingue el dato declarado por el cliente, el resultado de una validación y la conclusión del analista. Cada elemento responde una pregunta diferente.
La siguiente matriz es una propuesta de organización; no sustituye los requisitos de tu sector. Los responsables son funciones sugeridas que debes ajustar a tu estructura.
| Pregunta | Evidencia que conviene vincular | Responsable propuesto |
|---|---|---|
| ¿A quién estamos dando de alta? | Datos declarados, documentos y resultados de verificación con fecha y fuente. | Operaciones / enrolamiento |
| ¿Quién representa o controla a la empresa? | Documentación corporativa, facultades e identificación de las personas que corresponda. | Legal / Cumplimiento |
| ¿Qué inconsistencia se encontró? | Resultado original, información contrastada y solicitud de aclaración. | Analista asignado |
| ¿Por qué se tomó la decisión? | Motivo, política y versión utilizadas; identidad del aprobador y fecha. | Rol autorizado |
| ¿Qué cambió después? | Versiones anteriores, actualización, motivo y responsable del cambio. | Dueño del expediente |
| ¿Podemos recuperar el caso? | Índice de evidencias, controles de acceso y prueba de recuperación. | TI / gestión documental |
Evita etiquetas ambiguas. “Validado” no explica si se revisó legibilidad, concordancia de datos o una fuente específica. Registra el alcance real de cada comprobación y los pendientes que permanecen abiertos.
3. Documenta decisiones, excepciones y cambios
Un expediente pierde claridad cuando la conclusión sustituye a la evidencia. Conserva ambas. Como buena práctica, registra qué resultado recibió el equipo, qué regla se aplicó y quién intervino cuando hubo una excepción.
Por ejemplo, “aprobado por gerencia” deja demasiadas preguntas. Una nota útil identifica la discrepancia, la aclaración recibida, los documentos revisados y el motivo de la resolución. Si falta un requisito obligatorio, una autorización interna no elimina esa obligación.
Define también qué sucede ante una consulta sin respuesta: pendiente, reintento o revisión. No conviertas un error técnico en un resultado favorable. Cuando se corrija un dato, conserva la secuencia del cambio; sobrescribirlo sin historial impide explicar qué información estuvo disponible al decidir.
La revisión humana debe tener un propósito concreto: resolver contradicciones, evaluar evidencia insuficiente o atender excepciones previstas. Para comprobar que funciona, selecciona expedientes y pide a una persona ajena al caso que reconstruya la decisión. Las preguntas que no logre responder señalan dónde mejorar.
4. Integra Enrolamiento y KYC con la revisión de Cumplimiento
SUMA México ofrece verificación de identidad y enrolamiento digital, además de consultas y firma electrónica dentro de su portafolio. [4] En un proyecto de expediente digital, el trabajo consiste en definir qué validaciones se necesitan y cómo incorporar sus resultados al proceso de la empresa.
La integración propuesta comienza con los requisitos que establece Cumplimiento. Operaciones captura la información; las validaciones contratadas aportan resultados; los casos que requieren análisis pasan al responsable autorizado. Finalmente, el sistema que gestione el expediente relaciona evidencia y resolución.
Antes de implementarlo, acuerda con SUMA qué datos y comprobantes entrega cada servicio, cómo se recuperan y qué responsabilidades de resguardo asume cada parte. Esta arquitectura es una propuesta de integración, no una afirmación de que todas las funciones documentales estén incluidas por defecto.
Dos servicios complementarios pueden aportar contexto: consultas de listas de riesgo y firma electrónica. En las primeras, documenta la fuente y la resolución de coincidencias; una coincidencia de nombre no acredita culpabilidad. En la segunda, vincula el documento firmado con el expediente, sin asumir que la firma corrige información incompleta ni garantiza por sí sola un resultado jurídico.
5. Prueba el expediente con un caso B2B hipotético
Imagina una empresa que incorpora clientes corporativos y solicita revisar a su representante. Es un ejemplo hipotético, no un caso de SUMA.
El nombre capturado no coincide exactamente con el documento de representación. Operaciones registra la diferencia y detiene la resolución automática. El analista solicita una aclaración, revisa el soporte recibido y deja constancia del criterio aplicado. La persona con facultades de aprobación resuelve conforme a la política vigente.
Durante una revisión posterior, el expediente muestra la solicitud original, la discrepancia, la aclaración y la aprobación. También permite comprobar qué análisis de beneficiario controlador correspondía y dónde quedó documentado. Verificar al representante no sustituye ese análisis.
La prueba consiste en recuperar la secuencia completa y detectar sus límites: qué se verificó, qué quedó pendiente y quién asumió cada responsabilidad. Ninguna carpeta, plataforma o validación aislada garantiza cumplimiento automático.
6. Preguntas frecuentes sobre el expediente digital KYC
¿Un PDF con todos los documentos es suficiente?
Puede facilitar la consulta, pero conviene acompañarlo de un índice, resultados, decisiones e historial. Comprueba que permita reconstruir el caso y que satisfaga el régimen aplicable; el formato por sí solo no lo demuestra.
¿Cuánto tiempo debo conservarlo?
Depende del régimen. Para el supuesto del artículo 18, fracción IV, de la LFPIORPI, el SAT señala que el plazo de diez años debe considerarse para actos u operaciones realizados desde el 17 de julio de 2025. No extrapoles esa regla sin revisar tu actividad y las demás condiciones legales. [3]
¿Puedo aprobar si una consulta no respondió?
No interpretes la falta de respuesta como validación. Documenta la incidencia y aplica el procedimiento autorizado, respetando los requisitos que deban satisfacerse antes de continuar.
¿Cómo actualizo información sin perder trazabilidad?
Conserva la versión anterior, la nueva evidencia, la fecha y el motivo. Define revisiones y eventos de actualización conforme a las obligaciones aplicables y la política interna.
Construye un flujo que tu equipo pueda operar y explicar. Agenda una sesión sobre tu expediente digital.
Fuentes y alcance de verificación
Todas consultadas el 14 de octubre de 2026.
- Cámara de Diputados: LFPIORPI, texto vigente, última reforma DOF 16-07-2025. Artículos 14–18: distinción de regímenes y obligaciones citadas. Ámbito de los ejemplos normativos: Actividades Vulnerables del artículo 17; no se ofrece una lista de requisitos bancarios.
- DOF: Acuerdo 115/2026, reforma a las Reglas de carácter general de la LFPIORPI. Publicación del 07-08-2026, corroborada en el marco jurídico del SAT. Transitorio primero: vigencia general 30-11-2026; transitorios siguientes: excepciones y plazos diferenciados. Publicado, todavía sin entrada en vigor general al corte de investigación. No se presenta como obligación actual.
- SAT / Portal de PLD: criterios sobre la reforma de la LFPIORPI. Criterio relativo al artículo 18, fracción IV: aplicación temporal de la conservación por diez años. Se utiliza únicamente ese criterio, sin tratar las respuestas antiguas sobre reglas pendientes como descripción actual del calendario.
- SUMA México: verificación de identidad digital. Fuente comercial primaria para enrolamiento, consultas y firma; no acredita por sí sola funciones de archivo, retención, certificaciones o resultados garantizados.
- SUMA México: índice del blog. Comprobación editorial de temas publicados, fechas y enlaces relacionados. Limitación de recuperación del artículo más próximo descrita arriba.