En la LFPIORPI hay artículos que te dicen qué es una Actividad Vulnerable (art. 17)… y hay uno que te dice qué tienes que hacer todos los días para que esa Actividad Vulnerable no se convierta en un dolor de cabeza: el Artículo 18.
Si alguna vez sentiste que “cumplir” es una mezcla de papeles, portal, listas y paranoia sana, no estás exagerando: el Art. 18 es, literalmente, el checklist legal del cumplimiento para Actividades Vulnerables. Y con la reforma publicada el 16 de julio de 2025, se reforzó el enfoque basado en riesgo, la trazabilidad y la disciplina operativa.
1) ¿A quién aplica el Artículo 18?
A quienes realizan Actividades Vulnerables (las del Art. 17), desde inmobiliarias, notarios y joyería, hasta arte, blindaje, activos virtuales (cuando aplica), etc.
Piensa en esto: si tu negocio está en un sector donde puede circular dinero “difícil de explicar”, el Art. 18 te exige que tengas control, evidencia y capacidad de reacción.
2) Qué obliga (en lenguaje humano): el Artículo 18 explicado por bloques
A. Conoce a tu cliente “de verdad” (Identificación y verificación)
La fracción I pide identificar y conocer directamente a clientes/usuarios y verificar identidad con documentos oficiales, guardando copia, según reglas de carácter general.
Traducción operativa:
No basta con “me dio su INE por WhatsApp”.
Debes tener un proceso repetible (y documentado) para validar identidad.
B. Si hay relación de negocios, entiende su actividad (perfil)
La fracción II exige información sobre actividad u ocupación, apoyándote (entre otros) en datos ligados al RFC.
Traducción operativa:
Necesitas un perfil: ¿a qué se dedica?, ¿por qué compra/usa el servicio?, ¿hace sentido con montos y frecuencia?
C. Beneficiario Controlador: el “quién está detrás”
La fracción III obliga a recabar información para identificar al Beneficiario Controlador cuando el cliente sea persona moral/fideicomiso/figura jurídica; y, si es persona física, recabar declaración sobre si conoce un BC y documentación si aplica.
Traducción operativa:
No te quedes en el “representante legal”.
Lo importante es la persona (o grupo) que controla o se beneficia.
D. Evidencia: conservar y proteger (y ahora, por más tiempo)
La fracción IV es la columna vertebral documental: custodiar, proteger, evitar destrucción u ocultamiento de información soporte, registros para reconstruir operaciones, correspondencia comercial, resultados de análisis, etc.
Y ojo: el artículo establece que esa información debe conservarse física o electrónicamente y, en general, por al menos 10 años (contados desde la fecha de la Actividad Vulnerable), con reglas específicas y suspensión del plazo si hay juicio/recurso.
Traducción operativa:
“Lo tengo en el correo” no es un sistema de conservación.
Necesitas repositorio, controles de acceso, respaldo y trazabilidad.
E. Registro en el padrón: estar “formalmente” dentro
La fracción IV Bis agrega el deber de alta/registro/modificación/baja en el Padrón vía Portal, siguiendo Ley/Reglamento/reglas.
El SAT también lo aterriza como obligación previa a presentar el primer aviso (RFC + e.firma).
F. Avisos e Informes: y cuando hay sospecha, reloj de 24 horas
La fracción VI obliga presentar Avisos e Informes conforme a la Ley y reglas.
Pero lo más “operativo” (y subestimado) es esto: si hay sospecha o indicios de recursos ligados a delitos, se debe presentar Aviso dentro de las 24 horas de conocer la información o generarse la sospecha, incluso si la operación no se concretó.
Traducción operativa:
Necesitas un “botón rojo”: ¿quién decide?, ¿cómo documenta?, ¿quién sube el aviso?, ¿cómo se prueba el momento en que “se supo”?
3) Lo nuevo que muchas empresas aún no aterrizan (reforma 2025): Riesgo + Manual + Monitoreo + Auditoría
Aquí es donde el Art. 18 se vuelve más parecido a un programa integral de cumplimiento:
Evaluación basada en Riesgo (fr. VII): identificar, analizar, entender y mitigar riesgos propios y de clientes.
Manual de Políticas Internas (fr. VIII): criterios, medidas y procedimientos; incluye seguimiento de Personas Políticamente Expuestas (PEP).
Capacitación anual y selección de personal (fr. IX).
Mecanismos automatizados de monitoreo (fr. X): monitoreo permanente para detectar operaciones fuera de perfil y seguimiento intensificado a PEP o alto riesgo.
Auditoría/revisión anual (fr. XI): interna o externa según nivel de riesgo, para dictaminar efectividad del cumplimiento.
La lógica de fondo de la reforma ha sido comentada por despachos y análisis posteriores: elevar estándares de identificación, trazabilidad y control, y robustecer supervisión y sanción.
4) Caso breve (muy realista): “teníamos todo… menos el Art. 18 funcionando”
Una comercializadora cumple “en papel”: pide INE, llena formularios y manda avisos mensuales. Un día, un cliente nuevo quiere operar rápido, con prisa, montos altos y documentos “raros”. El equipo lo deja pasar porque “no queremos perder la venta”.
Semanas después llega un requerimiento: la autoridad pide soportes, correos, análisis previos, evidencia de perfil, y cuándo se detectó la “sospecha”. Si no hay:
registros reconstruibles,
manual y criterios,
bitácoras de revisión,
evidencia de monitoreo,
y trazabilidad de decisiones,
lo que parecía “un trámite” se convierte en un problema: no por el aviso, sino por no poder demostrar el proceso.
El Art. 18 no es para “llenar”; es para probar.
5) Checklist práctico para implementar el Art. 18 en 30 días (sin inventar nada)
Mapa de flujo: desde onboarding → operación → archivo → monitoreo → aviso.
Plantillas únicas: identificación, perfil, BC, PEP, expediente, análisis.
Repositorio con control: estructura por cliente/operación + respaldos. (Recuerda: 10 años)
Criterios de alerta: montos, frecuencia, incoherencia con actividad, urgencia, terceros, etc.
“Botón rojo 24h”: procedimiento y responsables (fr. VI).
Manual vivo: que el equipo sí use (fr. VIII).
Capacitación anual y evidencia: listas, temarios, evaluaciones (fr. IX).
Plan de auditoría: interna/externa según riesgo (fr. XI).
6) Errores típicos que “se ven bien” hasta que llega una visita
Guardar documentos, pero no poder reconstruir operaciones (fechas, correos, análisis).
Tener manual, pero sin criterios de PEP ni evidencia de uso.
No tener mecanismo claro para avisos por sospecha en 24h.
Conservar información “dispersa” y sin control de acceso (riesgo de pérdida/alteración).
Cierre: por qué el Art. 18 es el artículo que te salva (o te hunde)
El Artículo 18 es el puente entre “sé que estoy obligado” y “puedo demostrar que cumplo”. Si lo aterrizas con procesos, evidencia y monitoreo, te da algo valiosísimo: defensa.
Porque en cumplimiento, el mejor argumento no es “yo no sabía”… es “aquí está el expediente, la trazabilidad y el criterio aplicado”.
NEVER MISS A THING!
Subscribe and get freshly baked articles. Join the community!
Join the newsletter to receive the latest updates in your inbox.
