Hay escenas que en muchos negocios ya parecen normales: el cliente negocia, otro firma, un tercero transfiere, y al final alguien distinto pide la factura o la entrega. Todo sale “bien”, la operación se cierra, el dinero entra… y nadie quiere frenar la venta por hacer demasiadas preguntas.

El problema es que, en materia de compliance, esa operación no se ve “normal”: se ve inconsistente.

Bajo la LFPIORPI, quienes realizan Actividades Vulnerables no solo deben identificar a clientes o usuarios con documentación oficial y recabar copia de ella; también deben pedir información sobre la existencia del Beneficiario Controlador y conservar evidencia suficiente para demostrar cómo entendieron la operación. La lógica es clara: la autoridad no quiere solo saber quién aparece, sino quién está realmente detrás y si lo que pasó tiene congruencia documental.

La operación que “no sonaba rara”… hasta que alguien la revisó

Imagina este caso:

Una empresa compra mercancía de alto valor.
El contacto comercial es “Luis”.
El contrato lo firma “Mariana”, como apoderada.
El pago llega desde la cuenta de una tercera sociedad.
Y el beneficiario real de la mercancía termina siendo otra persona moral del mismo grupo.

En ventas, esto puede verse como una operación corporativa más. En compliance, en cambio, enciende varias preguntas:

• ¿Quién es realmente el cliente o usuario?

• ¿Quién tiene el control o beneficio real de la operación?

• ¿Por qué paga un tercero?

• ¿Existe soporte contractual o comercial para esa estructura?

• ¿El expediente explica esa relación o solo acumula PDFs sin contexto?

Ese es el punto crítico: muchas multas no nacen de una intención dolosa, sino de una trazabilidad incompleta. El SAT recuerda que el expediente único debe construirse con documentos legibles, cotejados y útiles para acreditar la identificación; no basta guardar archivos por guardar.

Lo que la ley sí espera de ti

La LFPIORPI, su reglamento y los criterios del portal SPPLD dejan una idea constante: el cumplimiento no se agota en “tomar una INE” o “subir un aviso”. La obligación incluye identificar adecuadamente a clientes o usuarios, recabar información sobre el Beneficiario Controlador y mantener elementos que permitan reconstruir la lógica de la operación si después llega un requerimiento o una visita de verificación.

Además, con la reforma publicada el 16 de julio de 2025, la noción de Beneficiario Controlador quedó reforzada: no se limita a quien formalmente aparece en papeles, sino a quien directa o indirectamente controla, dirige o tiene poder relevante sobre la persona moral, incluyendo el criterio de más del 25 % del capital social como referencia importante.

Traducido al mundo real: si el dinero, la instrucción, el control y el beneficio están repartidos entre personas distintas, tu trabajo no es asumir que “seguro sí se conocen”. Tu trabajo es entender y documentar por qué esa estructura tiene sentido.

Por qué los pagos de terceros incomodan tanto

Porque son uno de los patrones clásicos que rompen la congruencia entre la relación comercial y el flujo de recursos.

A nivel internacional, FATF y GAFILAT han señalado repetidamente que los pagos a o desde terceros sin justificación suficiente, así como discrepancias entre contratos, facturas, partes involucradas y destinatarios del dinero, son indicadores relevantes de riesgo de lavado. No significan automáticamente una operación ilícita, pero sí exigen más contexto, más preguntas y mejor documentación.

Eso importa muchísimo en México porque una operación puede verse impecable en el banco, pero mal explicada en tu expediente. Y cuando la autoridad revise, lo que contará no será lo que “todos entendían internamente”, sino lo que puedas probar.

Cinco preguntas que salvan más que un formato bonito

Cuando detectes que paga alguien distinto del cliente, conviene detenerse y responder, por escrito y con respaldo, al menos esto:

1. ¿Qué relación tiene el tercero con el cliente o usuario?
Grupo empresarial, mandatario, obligado solidario, familiar, proveedor relacionado, sociedad holding, etc.

2. ¿Existe documento que lo soporte?
Contrato, instrucción formal, poder, carta, convenio intercompañía, orden de pago o elemento equivalente.

3. ¿La actividad económica y el perfil del tercero hacen sentido con el monto?
Si una cuenta sin relación aparente paga una operación relevante, ya tienes una alerta que merece revisión.

4. ¿La factura, el contrato, la entrega y el pago cuentan la misma historia?
Cuando cada documento apunta a una persona distinta, el riesgo sube.

5. ¿Ya revisaste si hay Beneficiario Controlador identificable detrás?
Porque muchas veces el “tercero pagador” no es el problema principal; el verdadero vacío está en no haber entendido quién manda realmente.

El error más común: creer que pedir “una carta” resuelve todo

No siempre.

Una carta simple diciendo “yo pagué por cuenta de mi cliente” puede ayudar, pero no sustituye el análisis de fondo. Si el resto del expediente no es consistente —actividad económica, documentación corporativa, facultades del firmante, origen aparente de la relación y lógica comercial— esa carta se vuelve apenas un parche.

Compliance útil no es coleccionar formatos; es construir una historia verificable.

Por eso cada vez más equipos están dejando atrás el expediente armado entre correos, WhatsApp y carpetas sueltas. Cuando la operación involucra terceros, apoderados, sociedades relacionadas y beneficiarios controladores, el valor ya no está solo en guardar documentos, sino en conectarlos. Ahí es donde herramientas tecnológicas especializadas, como Artu.AI, empiezan a tener sentido: no por “verse modernas”, sino porque ayudan a que el expediente tenga coherencia, trazabilidad y criterio operativo, que es justo lo que más se cae en la práctica.

La moraleja incómoda

En LFPIORPI, muchas veces el riesgo no entra gritando. Entra disfrazado de operación cotidiana, de cliente importante o de “así se maneja este grupo empresarial”.

Y justo por eso es peligroso.

Cuando paga un tercero, no siempre hay delito. Pero casi siempre hay una pregunta pendiente.
Y en compliance, la pregunta que nadie quiso hacer hoy suele convertirse en el problema que todos tienen que explicar mañana.